Secret Server corrige tres fallos de autenticación y permisos en la versión 12.3.1

Delinea corrigió tres fallos de autenticación y autorización en Secret Server con la versión 12.3.1. El proveedor identifica como afectadas las instalaciones on-prem y cloud anteriores a esa versión, incluidas las 12.2.7 y anteriores. Los fallos tienen mecanismos distintos: uno altera el flujo de inicio de sesión, otro puede conceder permisos a partir de un JWT sin firma bajo ciertas condiciones y un tercero afecta la comprobación de PIN o biometría de FIDO2.

-SecureCrew dice: llamar “fallo de MFA” a tres defectos distintos simplifica el titular y complica la respuesta.-

Tres rutas, no un único bypass

CVE-2026-115829 permite completar el segundo paso de autenticación sin pasar por el inicial en las versiones afectadas. La descripción de Delinea dice que un usuario podía autenticar negociando correctamente el segundo factor; eso no significa que cualquier persona pudiera entrar sin credenciales ni que todos los factores fueran ignorados. El aviso de GitHub registra complejidad alta y privilegios requeridos altos en el vector CVSS v4 publicado.

CVE-2026-115830 trata de un JWT sin firma que, bajo ciertas condiciones, podía recibir permisos cloudadmin. Delinea limita la descripción a Secret Server anterior a 12.3.1 y lista 12.2.7 o anteriores. El alcance condicional importa: no es una afirmación de que cualquier token, usuario o tenant pudiera elevarse automáticamente, ni de que un token legítimo firmado quedara comprometido.

CVE-2026-115828 afecta a la validación de un dispositivo FIDO2. Delinea indica que el PIN o la biometría no siempre se comprobaban al usar un dispositivo compatible. Es un defecto distinto de saltarse el primer paso de inicio y del tratamiento de JWT; mezclar los tres en una supuesta “caída de MFA” ocultaría qué control falla en cada caso.

-SecureCrew dice: una llave física puede estar bien diseñada y aun así el servidor puede validar mal el paso que debía protegerla.-

Qué versión corregir y qué comprobar

La versión 12.3.1 es la corrección que Delinea cita para los tres avisos. Antes de actuar, confirma la versión efectiva de Secret Server y si la instancia es autogestionada o cloud; el aviso abarca ambos modelos, pero el modo de despliegue determina quién aplica el cambio. El proveedor no presenta una mitigación alternativa que sustituya la actualización.

CVE-2026-115829 tiene un CVSS v4 de 8,7 según la ficha de Delinea y GitHub. La cifra resume un vector concreto, que también marca complejidad alta y privilegios altos; no predice por sí sola la probabilidad de ataque ni confirma explotación. En el artículo se usa para dimensionar el aviso, no para convertirlo en una emergencia indistinta de cualquier flujo de login.

Tras actualizar, revisa sesiones y permisos privilegiados con el contexto de cada defecto. Si la instalación registró fallos de inicio, tokens inusuales o accesos FIDO2 fuera de patrón, conserva los eventos y analiza cada vía por separado. La actualización corrige el código vulnerable; por sí sola no revoca tokens, no invalida una sesión sospechosa ni acredita que nunca se haya usado una ruta previa.

-SecureCrew dice: en un gestor de secretos, revisar el rastro de una sesión es parte del parche aunque no aparezca en el changelog.-

La conclusión operativa es específica para Secret Server y sus versiones anteriores a 12.3.1. No es evidencia de una vulnerabilidad de FIDO2 en general, de un fallo de todas las llaves de seguridad ni de un bypass universal de la autenticación multifactor. Los administradores deben mapear la versión, aplicar el arreglo del proveedor y tratar por separado cualquier señal local de abuso.

Diccionario de la Crew

JWT — Token con campos que una aplicación usa para representar información y permisos; debe validarse según su firma y contexto.
FIDO2 — Estándar de autenticación que permite usar dispositivos físicos o autenticadores de plataforma.
MFA — Autenticación que combina más de un factor, como contraseña y dispositivo.