CVE-2026-23751: Kofax (Tungsten) Capture: endpoint .NET Remoting sem autenticação no Ascent Capture Service

Visão geral

O Kofax Capture, agora denominado Tungsten Capture, expõe um canal HTTP do .NET Remoting obsoleto na porta 2424 por meio do Ascent Capture Service, conforme descrito no registro CVE e no aviso da VulnCheck. A fraqueza é classificada como CWE-306, Falta de autenticação para função crítica. O registro informa que o canal usa um identificador de endpoint padrão e publicamente conhecido.

Impacto

O registro descreve diversos desfechos possíveis: divulgação de credenciais sensíveis, negação de serviço, execução remota de código e movimentação lateral. O resultado real depende dos privilégios da conta de serviço e do ambiente de rede.

CVSS v3.1: 9.8 (Crítica), vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
CVSS v4.0: 9.3, também fornecida pela VulnCheck como CNA.
As pontuações vêm do registro; não há verificação independente nas fontes consultadas.

Produtos e versões afetadas

Kofax Capture (agora Tungsten Capture), versão 6.0.0.0, é citado no registro.
O registro afirma que outras versões podem ser afetadas, mas a lista estruturada de afetados está vazia, portanto a faixa completa é desconhecida.
A documentação do fornecedor está disponível no Tungsten Automation DocShield, mas deve ser conferida para a versão específica em uso.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS é 0,00883, com percentil de 0,58126, conforme registrado nos dados de origem.

Correção e mitigação

O registro não informa versão corrigida. Isso não significa que não exista correção; consulte os avisos e a documentação do fornecedor para orientações atuais.
Restrinja o acesso de rede à porta do serviço para que apenas hosts confiáveis e necessários possam alcançá-la. Não a exponha a redes não confiáveis ou à internet.
Se o canal de remoting obsoleto não for necessário, siga a orientação do fornecedor para desativá-lo ou removê-lo.
Execute o serviço com uma conta de menor privilégio e limite o tráfego SMB e NTLM de saída a partir dos servidores de aplicação.
Se houver suspeita de exposição, revise e renove as credenciais que o serviço ou suas contas possam ter utilizado.

Orientação para detecção

Revise as conexões à porta TCP 2424 e identifique as provenientes de origens inesperadas ou não confiáveis.
Monitore servidores com o serviço para tentativas inesperadas de SMB ou autenticação de saída para hosts externos.
Observe criação ou modificação inesperada de arquivos nos diretórios do serviço e das aplicações.
Revise os logs do Ascent Capture Service em busca de anomalias na atividade de remoting.

Limitações das informações disponíveis

A faixa de versões afetadas, as versões corrigidas e o status de correção do fornecedor não constam no registro.
Outras versões são apontadas como possivelmente afetadas, mas nenhuma foi confirmada.
As condições de exploração em implantações reais não são confirmadas pelas fontes consultadas.
O registro não traz detalhes de exploração, e esta análise não os reproduz.

Perguntas frequentes

A CVE-2026-23751 é conhecida como explorada ativamente?

O registro não a lista no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. Acompanhe atualizações do fornecedor e da CISA.

Existe versão corrigida disponível?

O registro não informa versão corrigida. Consulte a documentação do fornecedor para informações atuais de correção, pois a ausência de dado não significa que não exista correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.