事件概述
Fortra 于 10 月初发布 Core Privileged Access Manager（BoKS）安全更新，共修复八个漏洞，其中三个为严重级。BoKS 用于集中管理 Unix 与 Linux 服务器集群，统一执行账号策略与访问控制，是众多企业特权访问管理（PAM）的底座。一旦平台失守，攻击者即可横向取得其纳管的整片主机根权限。
Fortra 表示暂无证据表明上述漏洞已被在野利用，但因利用门槛低，后续被武器化的风险很高。
三个严重级漏洞
- CVE-2026-79901（CVSS 9.9）认证绕过：影响使用 BoKS keytab 管理 Active Directory 服务账号密码的部署。问题在于账号密码由一段可预测的伪随机序列生成，且以当前 Unix 时间戳作为种子。攻击者只要知道服务主体名称（SPN），并能估算密码变更时间，即可在本地枚举出有限的候选集合并离线验证，无需管理员权限，也无需接触 BoKS、服务主机或其 keytab。
- CVE-2026-79898（CVSS 9.1）命令注入：位于 crlserver 组件。已认证用户可注入 shell 命令，并以 root 权限在 BoKS Master 上执行。攻击路径为 BCC 以及 WSI 的 REST/SOAP 接口，二者可经网络直接访问，不依赖本地 sudo 或 suexec 规则。
- CVE-2026-12627（CVSS 9.8）栈缓冲区溢出：位于 BoKS 自动注册（autoregistration）功能，远程攻击者可在未认证情况下触发内存破坏，可能造成服务崩溃甚至任意代码执行。
技术细节
三个漏洞构成互补攻击链：认证绕过隐蔽取得初始访问，命令注入把已认证身份兑换为 Master 上的 root shell，栈溢出则提供面向网络的前置打击面。
CVE-2026-79901 AD 服务账号密码 = 伪随机序列(Unix 时间戳种子) -> 离线爆破候选集
CVE-2026-79898 crlserver 命令注入 -> BCC / WSI REST|SOAP -> root 命令执行
CVE-2026-12627 autoregistration 栈溢出 -> 内存破坏（远程未认证）同批还修复五个高危与中危问题，涉及堆溢出、越界读取与不安全临时文件等。
影响评估
BoKS 处于特权访问链的顶端，纳管范围通常覆盖数据库主机、跳板机与核心业务服务器。成功利用任一严重漏洞，都可能导致跨主机的统一凭证体系被接管，攻击者可直接读取敏感数据、部署勒索软件或植入持久化后门。认证绕过不触发失败登录计数，难以被传统告警发现。
官方未公布完整受影响版本与补丁清单，须以产品安全公告为准。
修复建议
- 优先升级 BoKS Manager、crlserver 与 autoregistration 相关组件到官方最新补丁版本。
- 核查是否使用 BoKS keytab 管理 AD 服务账号；若使用，立即轮换相关服务账号密码与 keytab。
- 将 BCC 与 WSI 的 REST/SOAP 接口限制在受信任管理网段，禁止从办公网或公网直连。
- 对 crlserver 进程做子进程监控（Sysmon 事件 ID 1），关注异常 shell 派生行为。
- 检索 Web 与应用日志中针对 /bcc/、/wsi/ 的可疑请求，以及来自非受信源、指向自动注册端口的连接。
- 对 BoKS 相关进程与配置文件启用完整性监控。