Dell (BIOS/DSA)

Dell PowerFlex Manager vor Version 5.1.0.1 enthält eine unzureichende Neutralisierung von Sonderzeichen in OS-Befehlen (OS Command Injection). Ein hoch privilegierter Angreifer kann darüber Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %. Empfohlene Massnahme: Aktualisierung auf Dell PowerFlex Manager 5.1.0.1 oder neuer.

Dell PowerProtect Data Domain ist in mehreren Release-Linien von einer Schwachstelle betroffen. Laut Quelle betrifft dies die Versionen 7.7.1.0 bis 8.7, das LTS2026-Release 8.6.1.0 bis 8.6.1.10, das LTS2025-Release 8.3.1.0 bis 8.3.1.30 sowie LTS2024-Releases ab 7.13.1.0; eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen Angriff über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Dell PowerProtect Data Domain ist von einer kritischen Schwachstelle betroffen. Laut Quelle sind die Versionen 7.7.1.0 bis 8.7, die LTS2026-Linie 8.6.1.0 bis 8.6.1.10, die LTS2025-Linie 8.3.1.0 bis 8.3.1.30 sowie die LTS2024-Linie ab 7.13.1.0 betroffen. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: die betroffenen Systeme gemäss Dell-Advisory auf eine korrigierte Version aktualisieren.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabeprüfung (Improper Input Validation) in der REST-API. Ein hochprivilegierter Angreifer mit entferntem Zugriff könnte diese potenziell ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Version 20.2.0.0 oder neuer aktualisieren.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabevalidierung in der REST-API. Ein Angreifer mit hohen Rechten und Netzwerkzugriff könnte diese Lücke potenziell ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Auf Version 20.2.0.0 oder neuer aktualisieren und den Zugriff auf die REST-API einschränken.

Das Perl-Modul Crypt::DSA verwendet in Versionen vor 1.21 dieselbe Nonce über mehrere Signaturen hinweg. Crypt::DSA::sign legt das Nonce-Material pro Signatur im Key-Objekt ab, ohne es zu erneuern; damit lässt sich der private Schlüssel rekonstruieren. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Crypt::DSA 1.21 oder neuer aktualisieren.

Dell Wyse Management Suite in Versionen vor WMS 5.5 HF1 nimmt nicht vertrauenswürdige Zusatzdaten zusammen mit vertrauenswürdigen Daten an (Acceptance of Extraneous Untrusted Data With Trusted Data). Laut Quelle könnte ein Angreifer mit geringen Rechten und entferntem Zugriff dies ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf WMS 5.5 HF1 oder neuer.

Dell ECS in den Versionen 3.8.1.0 bis 3.8.1.7 sowie Dell ObjectScale vor Version 4.3.0.0 enthalten hartcodierte Anmeldedaten. Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Dell Data Lakehouse in Versionen vor 1.6.0.0 enthält eine Schwachstelle durch fehlerhafte Zugriffskontrolle (Improper Access Control). Ein hoch privilegierter Angreifer mit entferntem Zugriff könnte die Schwachstelle ausnutzen und so eine Rechteausweitung erreichen. Die Schwachstelle gilt als kritisch, da sie zu unbefugtem Zugriff mit erhöhten Rechten führen und Systemintegrität sowie Kundendaten gefährden kann. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version 1.6.0.0.

Dell CloudLink in den Versionen 8.0 bis 8.1.2 enthält eine Schwachstelle in der eingeschränkten Shell. Ein privilegierter Benutzer mit bekanntem Passwort kann in die Befehls-Shell des CloudLink-Servers ausbrechen, Shell-Zugriff erlangen, seine Rechte ausweiten und sich unbefugten Systemzugriff verschaffen. Ist SSH mit den Web-Zugangsdaten des Servers aktiviert, ist der Angriff über das Netzwerk mit einem bekannten privilegierten Benutzerkonto möglich. CVSS-Basiswert: 9.1 (Kritisch).

Dell CloudLink in Versionen vor 8.1.1 enthält eine Schwachstelle, bei der ein privilegierter Benutzer mit bekanntem Passwort eine CLI-Escape-Schwachstelle ausnutzen kann, um die Kontrolle über das System zu erlangen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf 8.1.1.

Dell Storage Manager (Version 20.1.21) enthält eine Schwachstelle durch unzureichende Authentifizierung, die eine Umgehung von Schutzmechanismen erlaubt. Ein nicht authentifizierter, entfernter Angreifer kann über einen speziellen SessionKey und UserId auf die vom ApiProxy exponierten APIs des Data Collectors zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Dell ThinOS 10 in Versionen vor 2508_10.0127 enthält eine Schwachstelle durch Versagen des Schutzmechanismus. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte diese ausnutzen und so den Schutzmechanismus umgehen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version (2508_10.0127).

Dell PowerProtect Data Domain mit Data Domain Operating System (DD OS) enthält eine Schwachstelle vom Typ Authentication Bypass by Spoofing. Betroffen sind die Feature-Release-Versionen 7.7.1.0 bis 8.3.0.15, die LTS-2024-Versionen 7.13.1.0 bis 7.13.1.25 sowie die LTS-2023-Versionen 7.10.1.0 bis 7.10.1.60. Ein nicht authentifizierter Angreifer mit entferntem Zugriff könnte den Schutzmechanismus umgehen und ein Konto anlegen, das Kundendaten offenlegt sowie Systemintegrität und -verfügbarkeit beeinträchtigt. CVSS-Basiswert: 9.8 (Kritisch).

Dell PowerScale OneFS in den Versionen 9.5.0.0 bis 9.10.0.1 enthält im NFS-Export eine Schwachstelle durch fehlende Autorisierung. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte sie ausnutzen, um unbefugt auf das Dateisystem zuzugreifen und beliebige Dateien zu lesen, zu ändern und zu löschen; die Schwachstelle kann zur vollständigen Systemübernahme genutzt werden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Dell empfiehlt eine schnellstmögliche Aktualisierung.

Dell PowerScale OneFS in den Versionen 9.5.0.0 bis 9.10.1.0 enthält eine Schwachstelle durch die Verwendung eines Standardpassworts. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte sie ausnutzen und so ein hoch privilegiertes Benutzerkonto übernehmen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: den Hersteller-Fix einspielen und Standardanmeldedaten ändern.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection- Schwachstelle. Ein nicht authentifizierter Angreifer mit entferntem Zugriff könnte diese ausnutzen, um beliebige Befehle als root auszuführen, was zu einer vollständigen Übernahme des Systems führen kann. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die von Dell bereitgestellten Aktualisierungen zeitnah einspielen.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle. Ein nicht authentifizierter Angreifer mit Remote-Zugriff könnte sie ausnutzen, um beliebige Dateien zu löschen. Die Schwachstelle gilt als kritisch, da sich damit kritische Systemdateien als Root löschen lassen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Dell empfiehlt, so früh wie möglich zu aktualisieren.

Mehrere Dell-PowerFlex-Produkte (unter anderem PowerFlex appliance, PowerFlex rack, PowerFlex custom node über PowerFlex Manager, InsightIQ sowie Data Lakehouse) enthalten in Versionen vor den angegebenen Fixes eine Schwachstelle durch unsachgemässe Auflösung von Verknüpfungen vor dem Dateizugriff (Improper Link Resolution Before File Access). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff könnte darüber potenziell beliebigen Code auf dem System ausführen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf die von Dell genannten korrigierten Versionen aktualisieren.

Dell Enterprise SONiC OS in den Versionen 4.1.x und 4.2.x enthält laut NVD eine OS-Command-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in einem Betriebssystembefehl. Ein hoch privilegierter Angreifer mit Fernzugriff kann darüber Befehle ausführen. Dell stuft die Lücke als kritisch ein und empfiehlt eine zeitnahe Aktualisierung. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: die betroffene Software gemäss Dell-Advisory aktualisieren.

Dell Enterprise SONiC OS in den Versionen 4.1.x und 4.2.x enthält eine unzureichende Neutralisierung spezieller Elemente in einem Betriebssystembefehl (OS Command Injection). Ein hoch privilegierter Angreifer mit Remote-Zugriff könnte die Schwachstelle ausnutzen und dadurch Befehle ausführen. Laut Quelle empfiehlt Dell aufgrund der kritischen Einstufung eine baldige Aktualisierung. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine vom Hersteller bereitgestellte fehlerbereinigte Version.

Dell Enterprise SONiC OS (Versionen 4.1.x und 4.2.x) enthält eine Schwachstelle vom Typ Missing Critical Step in Authentication. Ein nicht authentifizierter Angreifer mit Remote-Zugriff kann sie ausnutzen, um den Schutzmechanismus zu umgehen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Dell empfiehlt, betroffene Systeme baldmöglichst zu aktualisieren.

Dell OS10 Networking Switches mit Version 10.5.2.x und höher enthalten eine Schwachstelle in Verbindung mit zeroMQ, wenn VLT konfiguriert ist. Ein entfernter, nicht authentifizierter Angreifer könnte diese Schwachstelle potenziell ausnutzen, was zu einer Offenlegung von Informationen und einem möglichen Denial of Service führt, wenn eine sehr grosse Anzahl von Anfragen an den Switch gesendet wird. Dell empfiehlt Kunden, zum frühestmöglichen Zeitpunkt zu aktualisieren. CVSS-Basiswert: 9.1 (Kritisch).

Dell OS10 Networking Switches ab Version 10.5.2.x enthalten eine OS-Command-Injection-Schwachstelle bei Verwendung der Remote-Benutzerauthentifizierung. Ein nicht authentifizierter, entfernter Angreifer könnte darüber beliebige Betriebssystembefehle ausführen und das System übernehmen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Dell empfiehlt, zeitnah zu aktualisieren.

Dell Networking Switches mit Enterprise SONiC in den Versionen 4.1.0, 4.0.5, 3.5.4 und darunter enthalten eine Schwachstelle durch unzureichende Eingabeprüfung. Ein nicht authentifizierter, entfernter Angreifer kann sie ausnutzen und seine Rechte bis zur höchsten Administratorebene ausweiten. Dell stuft die Schwachstelle als kritisch ein und empfiehlt, betroffene Protokolle betreffende Systeme umgehend zu aktualisieren. CVSS-Basiswert: 9.8 (Kritisch).

Dell ESI (Enterprise Storage Integrator) für SAP LAMA, Version 10.0, enthält in der EHAC-Komponente eine Schwachstelle zur Informationsoffenlegung. Ein nicht authentifizierter, entfernter Angreifer könnte diese durch Abhören des Netzverkehrs ausnutzen, um Zugangsdaten auf Administratorebene zu erlangen. CVSS-Basiswert: 9.8 (Kritisch).

Dell BSAFE SSL-J Version 7.0 und alle Versionen vor 6.5 sowie Dell BSAFE Crypto-J vor 6.2.6.1 enthalten eine Schwachstelle durch eine nicht gewartete Drittkomponente. Ein nicht authentifizierter, entfernter Angreifer könnte diese ausnutzen und das betroffene System kompromittieren. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Dell empfiehlt, so früh wie möglich zu aktualisieren.

Dell SmartFabric Storage Software Version 1.3 und älter enthält eine Schwachstelle durch unzureichende Eingabevalidierung. Ein entfernter, nicht authentifizierter Angreifer kann diese ausnutzen und seine Rechte bis zur höchsten Administrationsebene ausweiten. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: So früh wie möglich auf eine aktuelle Version aktualisieren.

Dell PowerStore vor Version 3.5.0.1 enthält eine Schwachstelle, durch die sensible Informationen in eine Logdatei eingefügt werden. Ein hoch privilegierter bösartiger Benutzer könnte dies ausnutzen und zur Offenlegung sensibler Informationen führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 3.5.0.1 oder neuer.

Mehrere Versionen von Dell PowerProtect Data Domain sind von einer Schwachstelle betroffen, darunter die Versionen 7.7.1.0 bis 8.7 sowie die LTS-Releases (u. a. 8.6.1.0–8.6.1.10, 8.3.1.0–8.3.1.30 und 7.13.1.0 aufwärts). Als betroffen ausgewiesen sind Dell (BIOS/DSA) und Dell EMC (PowerStore/Isilon/Unity). CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Empfohlene Massnahme: die von Dell bereitgestellten Updates einspielen.

In Dell PowerProtect Data Domain besteht eine Schwachstelle, die ein authentifizierter Angreifer mit hohen Rechten über das Netzwerk ausnutzen kann, um Vertraulichkeit, Integrität und Verfügbarkeit vollständig zu beeinträchtigen. Betroffen sind die Versionen 7.7.1.0 bis 8.7 sowie diverse LTS-Releases (u. a. LTS2026 8.6.1.0 bis 8.6.1.10, LTS2025 8.3.1.0 bis 8.3.1.30). CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Empfohlene Massnahme: auf eine korrigierte Dell-Version aktualisieren.

Dell PowerProtect Data Domain ist in den Versionen 7.7.1.0 bis 8.7 sowie in mehreren LTS-Release-Linien (u. a. LTS2026 8.6.1.0–8.6.1.10, LTS2025 8.3.1.0–8.3.1.30 und LTS2024 ab 7.13.1.0) von einer Schwachstelle betroffen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Empfohlene Massnahme: bereitgestellte Dell-Updates einspielen.

Mehrere Versionen von Dell PowerProtect Data Domain sind von einer Schwachstelle betroffen, darunter 7.7.1.0 bis 8.7 sowie diverse LTS-Releases (u. a. LTS2026 8.6.1.0–8.6.1.10, LTS2025 8.3.1.0–8.3.1.30, LTS2024 ab 7.13.1.0). CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Dell Display and Peripheral Manager (DDPM Mac) enthält in Versionen vor 2.3 laut NVD eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen, die zu einer OS-Command-Injection führen kann. Betroffen ist ein Angreifer mit geringen Rechten. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Dell Wyse Management Suite in Versionen vor WMS 5.5 HF1 enthält eine Path-Traversal-Schwachstelle (unzureichende Einschränkung eines Pfadnamens auf ein zugelassenes Verzeichnis). Ein hochprivilegierter Angreifer mit Fernzugriff kann die Lücke ausnutzen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf WMS 5.5 HF1 oder neuer aktualisieren.

Dell Unisphere for PowerMax (Version 10.3.0.5 und früher) enthält eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten. Ein Angreifer mit geringen Rechten und Netzwerkzugriff könnte diese ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

Dell PowerFlex Manager in Versionen bis einschliesslich 4.6.2 enthält eine Schwachstelle, die ein unautentifiziertes Auflisten von Verzeichnisinhalten (Directory Listing) ermöglicht. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte diese Schwachstelle ausnutzen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Dell PowerProtect Data Domain ist in mehreren Versionszweigen betroffen, darunter 7.7.1.0 bis 8.7, die LTS2026-Version 8.6.1.0 bis 8.6.1.10, die LTS2025-Version 8.3.1.0 bis 8.3.1.30 sowie LTS2024-Versionen ab 7.13.1.0. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version gemäss Dell-Advisory aktualisieren.

Dell PowerFlex Manager in Versionen vor 5.1.0.1 enthält eine Schwachstelle durch fehlende Authentifizierung für eine kritische Funktion (Missing Authentication for Critical Function). Ein nicht authentifizierter Angreifer mit Zugang zum angrenzenden Netzwerk könnte diese potenziell ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf die fehlerbereinigte Version aktualisieren.

Dell BSAFE SSL-J enthält eine Schwachstelle durch Allokation von Ressourcen ohne Begrenzung oder Drosselung. Ein nicht authentifizierter, entfernter Angreifer könnte dies potenziell ausnutzen, um einen Denial of Service zu verursachen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Dell Wyse Management Suite in Versionen vor WMS 5.5 enthält eine Schwachstelle, die das uneingeschränkte Hochladen von Dateien gefährlicher Typen ermöglicht. Ein Angreifer mit hohen Rechten und Fernzugriff könnte diese Schwachstelle ausnutzen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Dell PowerProtect Data Manager enthält in Versionen vor 20.2.0.0 eine Schwachstelle durch die Generierung fehlerhafter Sicherheitstokens (Generation of Incorrect Security Tokens) in der IAM-Komponente. Ein Angreifer mit niedrigen Rechten und entferntem Zugriff könnte diese potenziell ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 20.2.0.0 oder neuer aktualisieren.

Dell PowerProtect Data Domain ist laut Hersteller in mehreren Versionen von einer Schwachstelle betroffen, darunter 7.7.1.0 bis 8.6 sowie diverse LTS-Releases (u. a. 8.6.1.0 bis 8.6.1.10, 8.3.1.0 bis 8.3.1.30). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: gemäss Dell-Advisory auf eine korrigierte Version aktualisieren.

Dell PowerProtect Data Manager in Versionen vor 20.2.0.0 enthält eine Schwachstelle durch unzureichende Eingabevalidierung (Improper Input Validation). Ein Angreifer mit hohen Privilegien und Fernzugriff könnte sie potenziell ausnutzen; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 20.2.0.0 oder neuer.

Dell Wyse Management Suite (WMS) in Versionen vor WMS 2605 enthält eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl. Ein Angreifer mit niedrigen Rechten kann darüber SQL-Code einschleusen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Dell Wyse Management Suite 2605 oder neuer aktualisieren.

Die Dell Wyse Management Suite (WMS) in Versionen vor WMS 2605 enthält eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl. Laut Quellbeschreibung kann ein Angreifer mit niedrigen Rechten die Lücke ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die Dell Wyse Management Suite auf Version 2605 oder neuer aktualisieren.