CVE-2026-41858
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les machines virtuelles Windows gérées par des versions de BOSH-Ecosystem antérieures à la v0.23.0 sont affectées par une faille dans la manière dont le mot de passe de l'administrateur local est généré. Un attaquant non authentifié disposant d'un accès réseau peut estimer l'heure de démarrage de la VM pour prédire le mot de passe et obtenir un accès administratif complet au système. Cette exploitation est relativement simple à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Weak Randomness / Insecure Cryptographic Primitive (CWE-338) in Get-RandomPassword in BOSH-Ecosystem / windows-utilities-release allows a network attacker to estimate VM boot time and reconstruct a small candidate list to recover the Administrator password. The randomize_password job exists solely to lock the local Administrator account behind an unguessable password as a hardening control. Because the password is derived from a predictable, clock-seeded PRNG, a network attacker who can estimate VM boot time can reconstruct a small candidate list and recover the Administrator password, defeating the hardening control. Affected versions: - windows-utilities-release: all versions prior to v0.23.0 (inclusive); fixed in v0.23.0 or later