Okta разкри критична уязвимост в сигурността на Okta Access Gateway, която позволява на автентикиран администратор да изпълнява системни команди чрез конзолата за администриране на устройството.
Проследявана под номер CVE-2026-115547, уязвимостта засяга версии преди 2026.10.2 и има CVSS v3.1 оценка от 9.1 според бюлетина от 22 октомври 2026 г. Проблемът е свързан с недостатъчна проверка на входните данни, когато конзолата за администриране обработва специално форматирани конфигурационни стойности.
Атакуващ с администраторски достъп може да използва тези стойности, за да задейства изпълнение на команди с правата на служебния акаунт на OAG. Бюлетинът не описва възможност за неавтентикирана атака.
Дефектът се намира на мястото, където административните входни данни за конфигурация достигат до функциите за обработка в шлюза. Вместо да третира подадените стойности стриктно като конфигурационни данни, засегнатият софтуер може да позволи модифицираните входни данни да доведат до изпълнение на системни команди.
Дефект в Okta Access Gateway
Okta класифицира проблема по стандартите CWE-94 (неправилен контрол при генериране на код) и CWE-20 (неправилна проверка на входни данни). Изискваният достъп представлява важно ограничение. Атакуващият първо трябва да получи администраторски достъп до конзолата за управление на OAG.
Обикновен потребителски акаунт в приложението не удовлетворява посочените условия, а бюлетинът не съобщава за наличие на заобикаляне на автентикацията, което би елиминирало това изискване.
Успешната експлоатация изпълнява команди с разрешенията на служебния акаунт на OAG. Това не е равносилно на потвърден root достъп. Потенциалните щети зависят от това какво този акаунт може да чете, променя или стартира, което прави реалните му права ключов фактор при оценката на експозицията.
Предоставеният CVSS v3.1 вектор описва мрежова атака с ниска сложност, изискваща високи привилегии и без необходимост от потребителско взаимодействие. Той също така определя високо въздействие върху поверителността, целостта и наличността, с променен обхват.
Организациите, използващи версии на Okta Access Gateway преди 2026.10.2, трябва да преминат към версия 2026.10.2 или по-нова. Публикуваното съобщение посочва тази версия като решение на проблема и не предлага отделно временно обходно решение.
Тази корекция за сигурност следва предходни отстранявания на уязвимости в Okta Access Gateway и Auth0, обхващащи заобикаляне на оторизацията, SQL инжекции и съхраняван cross-site scripting (XSS).
Тези септемврийски проблеми имаха различни изисквания и поправки, поради което по-ранното обновяване Access Gateway 2026.9.1 не покрива минималната коригирана версия според настоящия бюлетин.
Администраторите следва също така да преразгледат кой има достъп до конзолата за управление и да разследват неочаквани промени в конфигурацията. Предишни доклади за злоупотреба със сесии на администратори на Okta в 1Password показват защо защитата на привилегированите сесии е от съществено значение, въпреки че този инцидент е отделен от настоящата уязвимост.
Бюлетинът не съобщава за активна експлоатация, не публикува зловреден код за атака и не посочва конкретното засегнато конфигурационно поле. Тези пропуски не доказват, че експлоатацията е невъзможна. Екипите трябва приоритетно да инсталират корекциите за сигурност чрез обновяване на устройството и да следят портала за бюлетини на Okta за допълнителни насоки при поява на нови подробности.