یک آسیب‌پذیری بحرانی از نوع اجرای دستورات از راه دور (Remote Command Execution) در Okta Access Gateway (OAG) شناسایی شده است. این نقص امنیتی به یک مدیر (Administrator) که احراز هویت شده است، اجازه می‌دهد تا با ارسال مقادیر پیکربندی (Configuration) با فرمت خاص از طریق کنسول مدیریت (Admin Console)، دستورات سیستم را اجرا کند. این آسیب‌پذیری در یک هشدار امنیتی به تاریخ ۲۲ اکتبر ۲۰۲۶ مستند شده است.
جزئیات فنی و شناسه CVE
این آسیب‌پذیری با شناسه CVE-2026-115547 ردیابی می‌شود و نسخه‌های OAG منتشر شده قبل از نسخه 2026.10.2 را تحت تأثیر قرار می‌دهد. طبق ارزیابی CVSS v3.1، این آسیب‌پذیری امتیاز 9.1 را دریافت کرده است که نشان‌دهنده شدت بالای آن است. نسخه 2026.10.2 شامل اصلاحیه (Patch) لازم برای رفع این مشکل است.
استفاده از این آسیب‌پذیری مستلزم دسترسی مدیریتی به کنسول مدیریت OAG است. این موضوع آن را از آسیب‌پذیری‌های RCE بدون نیاز به احراز هویت متمایز می‌کند؛ زیرا مهاجم باید از قبل دارای امتیازات مدیریتی لازم باشد تا بتواند فرآیند پردازش پیکربندی آسیب‌پذیر را فعال کند.
علت وقوع و نوع حمله
این ضعف ناشی از عدم اعتبارسنجی (Validation) کافی مقادیر پیکربندی است که از طریق رابط مدیریتی پردازش می‌شوند. این نقص در دسته Code Injection قرار می‌گیرد و با استانداردهای زیر مرتبط است:
- CWE-94: Improper Control of Code Generation
- CWE-20: Improper Input Validation
اگرچه گزارش‌ها تأیید نمی‌کنند که آیا اجرای دستورات منجر به دسترسی Root می‌شود یا خیر، اما مشخص است که دستورات در سطح حساب کاربری سرویس (Service Account) مربوط به OAG اجرا می‌شوند. میزان آسیب‌پذیری بستگی به سطح دسترسی‌های این حساب و پیکربندی کلی دستگاه دارد.
توصیه‌های امنیتی و رفع مشکل
در حال حاضر هیچ گزارش رسمی مبنی بر بهره‌برداری فعال (Active Exploitation) از این آسیب‌پذیری یا شناسایی عامل تهدید (Threat Actor) خاصی وجود ندارد. با این حال، اقدامات زیر توصیه می‌شود:
- ارتقای فوری: تمامی دستگاه‌های Okta Access Gateway آسیب‌پذیر باید به نسخه 2026.10.2 یا بالاتر ارتقا یابند.
- بازبینی دسترسی‌ها: دسترسی‌های مدیریتی را بازبینی کرده و هرگونه تغییر غیرمنتظره در پیکربندی را بررسی کنید.
توجه داشته باشید که اقدامات دفاعی جانبی، هرگز جایگزین نصب نسخه اصلاح‌شده نخواهند بود.
