Dell (BIOS/DSA) Seite 4

TechAdvisor in den Versionen 2.6 bis 3.37-30 für Dell XtremIO X2 schreibt sensible Informationen in eine Logdatei. Ein lokaler Angreifer mit geringen Rechten kann diese Schwachstelle ausnutzen und die offengelegten Zugangsdaten verwenden, um mit den Rechten des kompromittierten Kontos auf die Anwendung zuzugreifen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Sicherheitsupdates einspielen.

Dell XtremIO in Version 6.4.0-22 schreibt sensible Informationen ungeschützt in eine Log-Datei. Ein Angreifer mit geringen Rechten und lokalem Zugriff könnte diese Schwachstelle ausnutzen und die offengelegten Zugangsdaten verwenden, um mit den Rechten des kompromittierten Kontos auf die Anwendung zuzugreifen. CVSS-Basiswert: 8.8 (Hoch).

Dell Encryption und Dell Security Management Server enthalten vor Version 11.11.0 eine Schwachstelle durch unsachgemässe Auflösung von Links vor dem Dateizugriff (Link Following). Ein lokaler, böswilliger Nutzer kann dies laut Hersteller ausnutzen, um seine Rechte zu erweitern. CVSS-Basiswert: 7.3 (Hoch).

Das Dell Client Platform BIOS enthält in einer extern entwickelten Komponente eine Schwachstelle durch fehlerhafte Zugriffskontrolle auf gespiegelte bzw. aliasierte Speicherregionen. Ein hochprivilegierter Angreifer mit lokalem Zugriff könnte dies zur Codeausführung ausnutzen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das vom Hersteller bereitgestellte BIOS-Update einspielen.

Dell OpenManage Network Integration vor Version 3.8 enthält eine Schwachstelle zur Authentifizierungsumgehung durch Capture-Replay im RADIUS-Protokoll. Ein Angreifer mit lokalem Netzwerkzugang kann eine gültige Protokoll-Accept-Nachricht als Antwort auf eine fehlgeschlagene Authentifizierungsanfrage fälschen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 3.8 oder neuer aktualisieren.

Dell Unisphere für PowerMax vApp in Version 9.2.4.x enthält eine Schwachstelle durch unzureichende Neutralisierung von Direktiven in statisch gespeichertem Code (Static Code Injection). Ein hoch privilegierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, um Code auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Dell iDRAC Tools in Versionen vor 11.3.0.0 enthalten eine Improper-Access-Control-Schwachstelle. Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke ausnutzen und so seine Rechte ausweiten. Eine Benutzerinteraktion ist laut CVSS-Vektor nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung der iDRAC Tools auf Version 11.3.0.0 oder neuer.

Die Firmware des Dell Smart Dock vor Version 01.00.08.01 enthält eine Schwachstelle, bei der sensible Informationen in eine Log-Datei geschrieben werden. Ein Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen, um Informationen offenzulegen. CVSS-Basiswert: 7.1 (Hoch).

Dell Wyse Management Suite enthält in Versionen vor WMS 5.2 eine Schwachstelle durch absoluten Path Traversal. Ein unauthentifizierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, was zu Informationsoffenlegung und unautorisiertem Zugriff führen kann. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf WMS 5.2 oder neuer einspielen.

Dell Wyse Management Suite enthält in Versionen vor WMS 5.2 eine Schwachstelle, durch die sensible Informationen über Datenabfragen offengelegt werden. Ein nicht authentifizierter Angreifer mit Fernzugriff kann dies potenziell ausnutzen, um vertrauliche Daten einzusehen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Dell Wyse Management Suite WMS 5.2 oder neuer.

Dell Encryption Admin Utilities in Versionen vor 11.10.2 enthalten eine Improper-Link-Resolution-Schwachstelle (fehlerhafte Auflösung von Dateiverknüpfungen vor dem Dateizugriff). Ein lokaler böswilliger Benutzer kann diese Schwachstelle potenziell ausnutzen und dadurch seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 11.10.2 oder neuer aktualisieren.

Dell PowerScale InsightIQ in den Versionen 5.0 bis 5.2 enthält eine Schwachstelle durch fehlerhafte Rechteverwaltung. Ein nicht authentifizierter Angreifer mit entferntem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.1 (Hoch).

Dell PowerScale OneFS enthält in den Versionen 9.4.0.0 bis 9.9.0.0 laut NVD eine Schwachstelle durch unkontrollierten Ressourcenverbrauch. Ein entfernter, nicht privilegierter Angreifer könnte diese ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 7.5 (Hoch).

Der Dell Storage Manager (Dell Storage Center) in Version 20.1.20 weist eine Schwachstelle bei der Authentifizierung auf. Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk kann die Lücke potenziell ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 8.3 (Hoch).

Dell Storage Center beziehungsweise Dell Storage Manager in Version 20.1.20 enthält eine Schwachstelle durch unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE). Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk könnte diese ausnutzen, um Informationen offenzulegen oder zu verändern. CVSS-Basiswert: 8.1 (Hoch).

Dell PowerProtect Data Manager Reporting in Version 19.17 enthält eine Schwachstelle durch fehlerhafte Nutzung privilegierter APIs (Incorrect Use of Privileged APIs). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen und seine Privilegien ausweiten. Bei Erfolg sind Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell PowerScale OneFS in den Versionen 9.4.0.0 bis 9.10.0.1 enthält laut NVD eine fehlerhafte Autorisierungsprüfung. Ein unauthentifizierter Angreifer mit lokalem Zugriff kann dadurch potenziell mit den vorherigen Rechten eines deaktivierten Benutzerkontos auf den Cluster zugreifen. CVSS-Basiswert: 7.0 (Hoch).

Dell Common Event Enabler in Version CEE 9.0.0.0 enthält im Common Anti-Virus Agent (CAVA) eine Schwachstelle durch unzureichende Beschränkung des Kommunikationskanals auf die vorgesehenen Endpunkte. Ein nicht authentifizierter Angreifer mit Remote-Zugriff könnte sie ausnutzen und unbefugten Zugriff erlangen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

Dell PowerProtect Data Domain mit dem Data Domain Operating System (DD OS) vor Version 8.3.0.15 weist eine unzureichend granulare Zugriffskontrolle auf. Ein authentifizierter Benutzer von einem vertrauenswürdigen Remote-Client kann dadurch beliebige Befehle mit root-Rechten ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf DD OS 8.3.0.15 oder neuer.

Dell Wyse Management Suite vor Version 5.1 enthält eine Schwachstelle durch Offenlegung sensibler Informationen über Datenabfragen. Ein nicht authentifizierter Angreifer mit Fernzugriff kann diese laut Hersteller potenziell ausnutzen, was zu einer Offenlegung von Informationen führt. CVSS-Basiswert: 7.5 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine Open-Redirect-Schwachstelle (URL-Umleitung auf nicht vertrauenswürdige Seiten). Ein nicht authentifizierter Angreifer mit Fernzugriff könnte einen Zielbenutzer auf beliebige Web-URLs umleiten und dies für Phishing nutzen; eine Ausnutzung kann zum Diebstahl von Sitzungen führen. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen, die eine OS Command Injection ermöglicht. Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann dadurch beliebige Betriebssystembefehle mit Root-Rechten ausführen und seine Privilegien ausweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: betroffene Unity-Systeme auf eine Version nach 5.4 aktualisieren.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber beliebige Betriebssystembefehle mit Root-Rechten ausführen und so seine Privilegien ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Dell-Unity-Systeme sollten die Herstellerhinweise prüfen und lokale Zugriffe restriktiv vergeben.

Dell Unity enthält in den Versionen 5.4 und älter eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. Betroffen sind laut NVD die Versionen 5.4 und früher. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Systeme sollten die Verwundbarkeit ihrer Version prüfen.

Dell Unity in Version 5.4 und früher enthält laut NVD eine weitere OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystem-Kommandos). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff könnte die Lücke ausnutzen und dadurch Code ausführen sowie seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine konkrete Massnahme ist in den Quelldaten nicht ausgewiesen; die von Dell bereitgestellten Updates für Unity sollten geprüft werden.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke potenziell ausnutzen, um Befehle auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Produkte von Dell.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in an OS Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Schwachstelle ausnutzen, Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung ist derzeit nicht belegt.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzung ist bislang nicht als aktiv ausgewiesen.

Dell Unity in Version 5.4 und früher enthält laut NVD eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystem-Kommandos). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff könnte die Lücke ausnutzen und dadurch Code ausführen sowie seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine konkrete Massnahme ist in den Quelldaten nicht ausgewiesen; die von Dell bereitgestellten Updates für Unity sollten geprüft werden.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke potenziell ausnutzen, um Befehle auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Produkte von Dell.

Dell Unity enthält in Version 5.4 und früher eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Betriebssystembefehl (OS Command Injection). Ein nicht authentifizierter Angreifer mit Remote-Zugriff könnte diese Schwachstelle ausnutzen und beliebige Befehle ausführen. CVSS-Basiswert: 7.3 (Hoch).

Dell Unity in Version 5.4 und früher enthält laut NVD eine OS-Command-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen. Ein nicht authentifizierter Angreifer mit Remote-Zugriff kann dies zur Befehlsausführung ausnutzen. CVSS-Basiswert: 7.3 (Hoch).

Die Dell Chassis Management Controller Firmware für PowerEdge FX2 (vor 2.40.200.202101130302) und für PowerEdge VRTX (vor 3.41.200.202209300499) enthält einen stapelbasierten Pufferüberlauf. Ein nicht authentifizierter Angreifer mit entferntem Zugriff könnte die Schwachstelle ausnutzen und Code aus der Ferne ausführen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: die betroffene Firmware auf die vom Hersteller genannten Versionen aktualisieren.

Dell ThinOS 2408 und frühere Versionen enthalten eine Schwachstelle durch fehlerhaft gesetzte Berechtigungen. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann diese ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch).

Dell SmartFabric OS10 Software in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x enthält eine Schwachstelle durch Ausführung mit unnötigen Privilegien. Ein niedrig privilegierter Angreifer mit Fernzugriff könnte sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Aktualisierungen einspielen.

Dell SmartFabric OS10 in Version 10.5.6.x enthält eine Schwachstelle durch ein fest codiertes Passwort (Hard-coded Password). Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte sie ausnutzen und unbefugten Zugriff erlangen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

Dell SmartFabric OS10 (Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x) enthält laut NVD ein per Standard gesetztes Passwort (Use of Default Password). Ein gering privilegierter Angreifer mit Fernzugriff kann dies ausnutzen und unautorisierten Zugang erlangen. CVSS-Basiswert: 8.8 (Hoch).

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Befehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Eine Fix-Version ist in den Quelldaten nicht ausgewiesen.

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Schwachstelle durch fehlerhafte Rechtezuweisung (Incorrect Privilege Assignment). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte ausweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Eine Fix-Version ist in den Quelldaten nicht ausgewiesen.

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in Befehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann dadurch Befehle mit erhöhten Privilegien ausführen. Der Angriff erfordert laut CVSS-Vektor keine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Dell SmartFabric OS10 in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x enthält eine Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in a Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen und Code ausführen. Bei Erfolg sind Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell ThinOS 2411 und frühere Versionen enthalten eine Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in a Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Schwachstelle ausnutzen und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung ist derzeit nicht belegt.

Das Dell Client Platform BIOS enthält eine Schwachstelle durch schwache Authentifizierung. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.2 (Hoch).

Die Dell NetWorker Management Console in den Versionen 19.11 bis 19.11.0.3 sowie in Versionen vor 19.10.0.7 enthält eine Schwachstelle durch unzureichende serverseitige Neutralisierung von Eingaben. Ein nicht authentifizierter Angreifer mit lokalem Zugriff kann darüber beliebigen Code auf dem Server ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version ausserhalb der genannten betroffenen Versionsstände aktualisieren.

Dell SupportAssist OS Recovery enthält vor Version 5.5.13.1 eine Schwachstelle durch einen Symbolic-Link-Angriff. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen, um beliebige Dateien zu löschen und seine Rechte auszuweiten. CVSS-Basiswert: 7.0 (Hoch). Betroffen sind Dell-Systeme mit BIOS/DSA sowie Dell-EMC-Umgebungen (PowerStore, Isilon, Unity).

Dell UCC Edge in Version 2.3.0 enthält eine Blind-SSRF-Schwachstelle in der Funktion „Add Customer SFTP Server“. Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen und so eine Server-Side Request Forgery auslösen. CVSS-Basiswert: 7.9 (Hoch).

Dell PowerProtect DD enthält in Versionen vor 8.3.0.0, 7.10.1.50 und 7.13.1.20 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler böswilliger Benutzer mit niedrigen Privilegien kann sie potenziell ausnutzen, um seine Rechte auszuweiten. Laut CVSS-Vektor ist der Angriff ohne Benutzerinteraktion möglich; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf PowerProtect DD 8.3.0.0, 7.10.1.50 bzw. 7.13.1.20 oder neuer.

Dell PowerProtect DD vor DDOS 8.3.0.0, 7.10.1.50 und 7.13.1.20 enthält laut NVD eine Path-Traversal-Schwachstelle. Ein lokaler, gering privilegierter Benutzer kann dadurch unautorisiert im Dateisystem des Servers gespeicherte Betriebssystemdateien überschreiben. Die Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.1 (Hoch).

Dell Networking Switches mit Enterprise SONiC OS vor Version 4.4.1 und 4.2.3 enthalten laut NVD eine Schwachstelle, bei der sensible Informationen in eine Logdatei geschrieben werden. Ein hoch privilegierter Angreifer mit Fernzugriff könnte dies ausnutzen und so an offengelegte Informationen gelangen. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 4.4.1 bzw. 4.2.3 oder neuer.