شرکت Okta از یک نقص امنیتی بحرانی در Okta Access Gateway (OAG) پرده‌برداری کرده است که به یک مدیر احراز هویت شده (Authenticated Administrator) اجازه می‌دهد از طریق کنسول مدیریت (Admin Console)، دستورات سیستم را اجرا کند.
این آسیب‌پذیری با شناسه CVE-2026-115547 ردیابی می‌شود و طبق گزارش مورخ ۲۲ اکتبر ۲۰۲۶، دارای امتیاز CVSS v3.1 برابر با ۹.۱ است. این نقص بر تمامی نسخه‌های پیش از 2026.10.2 تأثیر می‌گذارد. مشکل اصلی مربوط به اعتبارسنجی ضعیف ورودی (Weak Input Validation) هنگام پردازش مقادیر پیکربندی در کنسول مدیریت است.
جزئیات فنی و نحوه حمله
مهاجم با داشتن دسترسی مدیریتی می‌تواند از مقادیر پیکربندی خاصی برای تحریک سیستم و اجرای دستورات (Command Execution) تحت حساب کاربری سرویس OAG استفاده کند. لازم به ذکر است که این گزارش، امکان حمله بدون احراز هویت (Unauthenticated Attack) را توصیف نمی‌کند؛ یعنی مهاجم ابتدا باید دسترسی به پنل مدیریت را کسب کرده باشد.
Okta این مسئله را در دو دسته‌بندی زیر طبقه‌بندی کرده است:
- CWE-94: کنترل نامناسب تولید کد (Improper Control of Code Generation)
- CWE-20: اعتبارسنجی نامناسب ورودی (Improper Input Validation)
اجرای موفقیت‌آمیز این آسیب‌پذیری، دستورات را با مجوزهای حساب کاربری سرویس OAG اجرا می‌کند. اگرچه این لزوماً به معنای دسترسی روت (Root Access) نیست، اما میزان آسیب‌پذیری و قدرت تخریب به سطح دسترسی‌های این حساب کاربری بستگی دارد.
اقدامات اصلاحی و توصیه‌ها
سازمان‌هایی که از نسخه‌های قدیمی‌تر Okta Access Gateway استفاده می‌کنند، باید بلافاصله به نسخه 2026.10.2 یا بالاتر ارتقا یابند. در حال حاضر هیچ راهکار موقتی (Workaround) دیگری برای رفع این مشکل ارائه نشده است.
علاوه بر به‌روزرسانی، مدیران سیستم توصیه می‌شوند اقدامات زیر را نیز انجام دهند:
- بازبینی دقیق لیست افرادی که به کنسول مدیریت دسترسی دارند.
- بررسی تغییرات غیرمنتظره در تنظیمات (Configuration) سیستم.
- مانیتورینگ دقیق فعالیت‌های حساب‌های مدیریتی برای شناسایی هرگونه سوءاستفاده از نشست‌ها (Sessions).
