Fortra BoKS Manager: Vorhersagbare Passwörter für Active-Directory-Dienstkonten

Zusammenfassung

BoKS Keytab-Management erzeugt Active-Directory-Dienstkonto-Passwörter aus einer vorhersagbaren Pseudozufallsfolge, die mit dem Unix-Zeitstempel initialisiert wird. Ein Angreifer mit einem Domänenkonto, der den Service Principal kennt und den Zeitpunkt der Passwortänderung abschätzen kann, kann eine begrenzte Kandidatenmenge reproduzieren und die Kandidaten offline prüfen. Der CVSS-Basiswert ist 9.9, die Exposition beschränkt sich jedoch auf Installationen, die BoKS Keytab-Management für AD-Dienstkonten einsetzen.

Betroffen

• Fortra BoKS Manager boks-server unterhalb 9.0.0.6 gemäss CNA-Eintrag
• Nur Installationen, die BoKS Keytab-Management zur Verwaltung von Active-Directory-Dienstkonten nutzen
• Ob der Build 9.0.0.6 betroffen ist, ist unklar; die genaue Grenze ist in der Advisory FI-2026-012 zu prüfen

Behoben in

• boks-server 9.0.0.7 gemäss CNA-Eintrag und Zusammenfassung des Herstellers
• Das Installieren des Updates macht Passwörter, die mit einer betroffenen Version erzeugt wurden, nicht sicher

Umgehung

• Es ist kein Workaround über das Patchen hinaus dokumentiert.
• Alle betroffenen oder unsicheren Dienstkonto-Passwörter über das BoKS Keytab-Management rotieren und die Verteilung der neuen Schlüsselversion bestätigen.
• Nach Ablauf der maximalen Service-Ticket-Lebensdauer der Domäne plus Clock-Skew-Toleranz die betroffenen Keytabs in einem Wartungsfenster neu erstellen, damit nur noch die aktuelle Schlüsselversion enthalten ist.
• Bei vermuteter Kompromittierung sofort rotieren und neu erstellen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• In einer begrenzten Suche wurde kein öffentlicher Proof of Concept gefunden.
• Die Ausnutzung erfordert den Service Principal, eine Schätzung des Zeitpunkts der Passwortänderung und Kerberos-Ticketmaterial; ein regulärer authentisierter AD-Benutzer kann in der Regel Service-Tickets anfordern.

Unsere Empfehlung

• Prüfen Sie in Ihrer Umgebung, ob BoKS Keytab-Management AD-Dienstkonto-Passwörter erzeugt.
• Aktualisieren Sie den aktiven BoKS-Master auf boks-server 9.0.0.7 und starten Sie BoKS neu, bevor Ersatzpasswörter erzeugt werden; bestätigen Sie den genauen Fix-Build in FI-2026-012.
• Rotieren Sie alle betroffenen Dienstkonto-Passwörter und Keytabs, erstellen Sie die Keytabs gemäss Advisory neu und testen Sie die Kerberos-Authentifizierung.
• Prüfen Sie AD-Dienstkonten mit SPNs und beschränken Sie, wer Service-Tickets dafür anfordern darf.
• Falls das Produkt nicht eingesetzt wird, ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fortra security advisory FI-2026-012 www.fortra.com
• SecurityWeek: Fortra patches critical vulnerabilities in BoKS www.securityweek.com
• OpenCVE: CVE-2026-79901 app.opencve.io
• Strix: CVE-2026-79901 www.strix.ai
• threatint: CVE-2026-79901 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:45.