Dell (BIOS/DSA) Seite 5

Dell NetWorker enthält in Versionen vor 19.11.0.3 sowie in allen Versionen 19.10 und älter eine Unquoted-Search-Path-Schwachstelle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke potenziell ausnutzen und dadurch Code ausführen. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 19.11.0.3 oder neuer aktualisieren.

Dell VxRail enthält laut NVD-Eintrag in den Versionen 7.0.000 bis 7.0.532 eine Schwachstelle durch Klartextspeicherung eines Passworts. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann diese Schwachstelle ausnutzen und dadurch Informationen offenlegen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

Dell VxRail speichert in den Versionen 8.0.000 bis 8.0.311 Passwörter im Klartext. Ein Angreifer mit erhöhten Rechten und lokalem Zugriff kann diese Schwachstelle potenziell ausnutzen, um Informationen offenzulegen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das Dell Update Package Framework vor Version 22.01.02 enthält eine Schwachstelle zur lokalen Rechteausweitung. Ein lokaler Angreifer mit geringen Rechten könnte diese ausnutzen, um beliebige Remote-Skripte auf dem Server auszuführen; die Ausnutzung kann zudem zu einem Denial of Service führen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 22.01.02 oder neuer.

Dell ECS enthält vor Version 3.8.1.3 eine Schwachstelle durch einen arithmetischen Überlauf bei der Verarbeitung von Aufbewahrungsfristen. Ein authentifizierter Benutzer mit Bucket- oder Objektzugriff und den nötigen Rechten könnte sie ausnutzen, um Aufbewahrungsrichtlinien zu umgehen und Objekte zu löschen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Auf Dell ECS 3.8.1.3 oder neuer aktualisieren.

Dell NativeEdge enthält in Version 2.1.0.0 eine Schwachstelle vom Typ Execution with Unnecessary Privileges. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte auf dem System ausweiten. Betroffen ist laut NVD die Version 2.1.0.0. CVSS-Basiswert: 7.8 (Hoch).

Dell NativeEdge Version 2.1.0.0 enthält eine Schwachstelle zur Offenlegung sensibler Informationen über Metadaten. Ein nicht authentifizierter Angreifer mit Fernzugriff kann dies potenziell ausnutzen, was zu einer Informationsoffenlegung führt. CVSS-Basiswert: 7.5 (Hoch).

Dell SupportAssist for Home PCs (Versionen 4.6.1 und früher) sowie Dell SupportAssist for Business PCs (Versionen 4.5.0 und früher) enthalten eine Symlink-Angriff-Schwachstelle in der Software-Remediation-Komponente. Ein niedrig privilegierter, authentifizierter Nutzer kann diese Schwachstelle ausnutzen, um seine Rechte zu erweitern, was zum beliebigen Löschen von Dateien und Ordnern auf dem System führt. CVSS-Basiswert: 7.1 (Hoch).

Dell PowerStore weist eine Schwachstelle durch unzureichende Neutralisierung von Argument-Trennzeichen in einem Befehl auf (Argument Injection). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese potenziell ausnutzen, um beliebige Systemdateien zu verändern. CVSS-Basiswert: 7.1 (Hoch).

Der Dell Inventory Collector Client enthält in Versionen vor 12.7.0 eine Schwachstelle vom Typ Improper Link Resolution Before File Access. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte ausweiten und unautorisiert auf das Dateisystem zugreifen. Betroffen sind laut NVD alle Versionen vor 12.7.0. CVSS-Basiswert: 7.8 (Hoch).

Dell RecoverPoint for Virtual Machines 6.0.x enthält eine OS-Command-Injection-Schwachstelle. Ein entfernter Angreifer mit niedrigen Rechten kann beliebige Befehle als root ausführen und so vollständigen Zugriff auf das System erlangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Das BIOS der Dell Client Platform enthält in einer extern entwickelten Komponente eine Schwachstelle durch unzureichende Eingabevalidierung. Ein Angreifer mit hohen Rechten und lokalem Zugriff kann diese ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt nicht vor, die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Dell ThinOS Version 2408 enthält eine unzureichende Neutralisierung von Sonderzeichen in einem Befehl (Command-Injection). Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen, was zur Ausführung von Befehlen führen kann. CVSS-Basiswert: 8.4 (Hoch).

Dell ThinOS in Version 2408 enthält eine Time-of-check-Time-of-use-(TOCTOU)-Race-Condition. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke potenziell ausnutzen und dadurch seine Rechte ausweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell VxVerify speichert vor Version x.40.405 Zugangsdaten im Shell-Wrapper im Klartext. Ein lokaler Angreifer mit hohen Rechten kann diese Schwachstelle ausnutzen, um bestimmte Benutzerdaten offenzulegen, und die offengelegten Zugangsdaten anschliessend nutzen, um mit den Rechten des betroffenen Kontos auf die verwundbare Komponente zuzugreifen. CVSS-Basiswert: 7.2 (Hoch).

Mehrere Dell-Produkte, darunter PowerFlex Appliance, PowerFlex Rack, PowerFlex Custom Node mit PowerFlex Manager, InsightIQ und Data Lakehouse, enthalten in bestimmten Versionen eine Schwachstelle durch unsichere Speicherung sensibler Informationen. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann sie ausnutzen und Informationen offenlegen, die zum unbefugten Zugriff auf Pods innerhalb des Clusters genutzt werden können. CVSS-Basiswert: 8.2 (Hoch).

Dell Avamar enthält in Versionen vor 19.12 mit Patch 338905 (ausgenommen 19.10 und 19.10SP1 mit Patch 338869) eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in SQL-Befehlen. Ein unauthentifizierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, um Befehle auszuführen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 19.12 mit Patch 338905 bzw. auf 19.10 oder 19.10SP1 mit Patch 338869 einspielen.

Dell Avamar vor Version 19.12 mit Patch 338905 (ausser 19.10 und 19.10SP1 mit Patch 338869) enthält eine unzureichende Neutralisierung von Sonderzeichen bei SQL-Befehlen (SQL-Injection). Ein niedrig privilegierter Angreifer mit Remote-Zugriff kann die Schwachstelle potenziell ausnutzen, um Skript-Injection durchzuführen. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update gemäss Dell-Advisory auf die gepatchten Versionen einspielen.

Dell Avamar enthält vor Version 19.12 mit Patch 338905 (mit Ausnahme von 19.10 und 19.10SP1 mit Patch 338869) eine SQL-Injection-Schwachstelle. Ein Angreifer mit geringen Rechten und Fernzugriff kann diese potenziell zur Codeausführung ausnutzen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Patch 338905 (Version 19.12) bzw. Patch 338869 (19.10/19.10SP1) einspielen.

Dell Power Manager (DPM) enthält in Versionen vor 3.17 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen, um Code auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Dell Power Manager 3.17 oder neuer aktualisieren.

Dell NetWorker Version 19.10 enthält eine Autorisierungsumgehung über einen benutzerkontrollierten Schlüssel (Authorization Bypass Through User-Controlled Key). Ein nicht authentifizierter Angreifer mit entferntem Zugang könnte die Schwachstelle ausnutzen und so an vertrauliche Informationen gelangen. CVSS-Basiswert: 8.3 (Hoch).

Die Dell NetWorker Management Console in Version 19.11 enthält eine Schwachstelle bei der Überprüfung kryptografischer Signaturen (Improper Verification of Cryptographic Signature). Ein nicht authentifizierter Angreifer mit lokalem Zugriff kann diese Lücke ausnutzen und Code auf dem System ausführen; laut CVSS-Vektor ist dafür Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Installationen sollten die Herstellerhinweise von Dell prüfen.

Dell Wyse Management Suite (WMS) in Version 4.4 und früheren Versionen enthält eine Schwachstelle zur Authentifizierungsumgehung mittels Capture-Replay. Ein hochprivilegierter Angreifer mit Fernzugriff kann diese ausnutzen, was zu einem Denial of Service führen kann. CVSS-Basiswert: 7.6 (Hoch).

Dell Wyse Management Suite enthält bis Version WMS 4.4 eine Schwachstelle durch unzureichende Begrenzung von Authentifizierungsversuchen. Ein hochprivilegierter Angreifer mit Fernzugriff kann dadurch den Schutzmechanismus umgehen. CVSS-Basiswert: 7.6 (Hoch).

Die Dell SmartFabric OS10 Software in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle vom Typ Execution with Unnecessary Privileges. Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann darüber Befehle zur Ausführung bringen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Systeme sollten gemäss Herstellerangaben aktualisiert werden.

Die Dell SmartFabric OS10 Software in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in Befehlen (Command Injection). Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann darüber eigenen Code zur Ausführung bringen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Systeme sollten gemäss Herstellerangaben aktualisiert werden.

Dell SmartFabric OS10 in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle in der Privilegienverwaltung (Improper Privilege Management). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Privilegien auf dem System ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Systeme sollten die Herstellerhinweise von Dell prüfen und lokale Konten restriktiv verwalten.

Die Dell SmartFabric OS10 Software enthält eine Command-Injection-Schwachstelle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber eigene Befehle ausführen. Betroffen sind laut NVD die Versionszweige 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x. CVSS-Basiswert: 7.8 (Hoch).

Dell OpenManage Enterprise in Version OME 4.1 und früher enthält eine Code-Injection-Schwachstelle durch unzureichende Kontrolle der Codegenerierung. Ein Angreifer mit niedrigen Rechten und Fernzugriff könnte diese Lücke ausnutzen und dadurch Code ausführen. CVSS-Basiswert: 8 (Hoch).

Dell SmartFabric OS10 Software (Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x, 10.5.3.x) enthält eine Uncontrolled-Resource-Consumption-Schwachstelle. Ein entfernter, nicht authentifizierter Host könnte diese ausnutzen, um einen Denial of Service herbeizuführen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

Dell SmartFabric OS10 Software (Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x, 10.5.3.x) enthält eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Kommando (Command Injection). Ein Angreifer mit geringen Rechten und Remote-Zugriff kann diese Lücke ausnutzen, um Code auszuführen. CVSS-Basiswert: 7.1 (Hoch).

Dell PowerScale InsightIQ in den Versionen 5.0 bis 5.1 enthält eine Schwachstelle durch die Verwendung eines fehlerhaften oder riskanten kryptografischen Algorithmus. Ein nicht authentifizierter Angreifer mit entferntem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.1 (Hoch).

Dell ThinOS in den Versionen 2402 und 2405 enthält eine Schwachstelle zur unzureichenden Neutralisierung von Sonderzeichen in einem Befehl (Command Injection). Ein nicht authentifizierter Angreifer mit physischem Zugriff auf das Gerät kann diese ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.6 (Hoch).

Dell PowerScale InsightIQ (Versionen 5.0 bis 5.1) enthält eine Schwachstelle, durch die Dateien oder Verzeichnisse für externe Parteien zugänglich sind. Ein unauthentifizierter Angreifer mit Fernzugriff könnte dies ausnutzen, um beliebige Dateien zu lesen, zu verändern oder zu löschen. CVSS-Basiswert: 7.3 (Hoch).

Dell SmartFabric OS10 Software enthält laut NVD in den Versionen 10.5.5.4 bis 10.5.5.10 und 10.5.6.x eine Schwachstelle durch ein hartkodiertes Passwort. Ein Angreifer mit geringen Rechten und Fernzugriff könnte dies ausnutzen, was zu clientseitiger Request-Forgery und Informationsoffenlegung führt. CVSS-Basiswert: 7.9 (Hoch).

Dell SmartFabric OS10 Software in den Versionen 10.5.5.4 bis 10.5.5.10 sowie 10.5.6.x enthält eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Befehl (Command Injection). Ein Angreifer mit niedrigen Rechten und Fernzugriff könnte diese Schwachstelle potenziell ausnutzen, um Befehle auszuführen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Das Dell Client Platform BIOS enthält eine Schwachstelle durch die Verwendung eines Standard-Kryptoschlüssels. Ein hochprivilegierter Angreifer mit lokalem Zugriff könnte dies ausnutzen, um Secure Boot zu umgehen und beliebigen Code auszuführen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das vom Hersteller bereitgestellte BIOS-Update einspielen.

Dell Power Manager (DPM) in den Versionen 3.15.0 und früher enthält eine Schwachstelle durch fehlerhafte Rechtezuweisung. Ein niedrig privilegierter Angreifer mit lokalem Zugriff könnte sie ausnutzen und so Code ausführen sowie seine Rechte ausweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Aktualisierungen einspielen.

Der Installer von Dell SupportAssist for Home PCs, exe-Version 4.0.3, enthält eine Rechteausweitungs-Schwachstelle. Ein lokaler, wenig privilegierter authentifizierter Angreifer könnte diese Schwachstelle ausnutzen, um beliebige ausführbare Dateien mit erhöhten Rechten auf dem Betriebssystem auszuführen. CVSS-Basiswert: 7.3 (Hoch).

Dell Repository Manager ist in Version 3.4.2 und früher im Installationsmodul anfällig für eine lokale Rechteausweitung. Ein lokaler, niedrig privilegierter Angreifer kann diese Schwachstelle unter Ausnutzung einer bestehenden Betriebssystem-Schwachstelle potenziell nutzen, um beliebige ausführbare Dateien mit hohen Rechten auszuführen. Eine erfolgreiche Ausnutzung kann zur Nichtverfügbarkeit des Dienstes führen. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: auf eine Version nach 3.4.2 aktualisieren.

Dell Peripheral Manager enthält in Versionen vor 1.7.6 eine Uncontrolled-Search-Path-Schwachstelle. Ein Angreifer kann sie über das Vorladen einer bösartigen DLL oder die Ausnutzung symbolischer Links missbrauchen, was zur Ausführung von beliebigem Code und zur Rechteausweitung führen kann. Laut CVSS-Vektor ist ein lokaler Zugriff mit niedrigen Rechten erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Dell Peripheral Manager auf Version 1.7.6 oder neuer aktualisieren.

Dell Peripheral Manager vor Version 1.7.6 enthält laut NVD eine Schwachstelle durch einen unkontrollierten Suchpfad. Ein Angreifer kann dies durch Preloading einer bösartigen DLL oder durch Ausnutzung symbolischer Links zur Ausführung beliebigen Codes und zur Rechteausweitung missbrauchen. CVSS-Basiswert: 7.3 (Hoch).

Dell Peripheral Manager vor Version 1.7.6 enthält eine Schwachstelle durch einen unkontrollierten Suchpfad. Ein Angreifer kann dies durch Vorladen einer manipulierten DLL oder Ausnutzung symbolischer Links missbrauchen, was zu beliebiger Codeausführung und Privilegieneskalation führen kann. CVSS-Basiswert: 7.3 (Hoch).

iDRAC9 enthält in Versionen vor 7.00.00.172 (14. Generation) bzw. vor 7.10.50.00 (15. und 16. Generation) eine Session-Hijacking-Schwachstelle in IPMI. Ein entfernter Angreifer kann diese potenziell ausnutzen, um beliebigen Code auf der verwundbaren Anwendung auszuführen. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 7.00.00.172 (14. Generation) beziehungsweise 7.10.50.00 (15./16. Generation) oder neuer.

Dell PowerProtect DD in den Versionen 8.0, 7.13.1.0, 7.10.1.30 und 7.7.5.40 enthält eine Out-of-bounds-Write-Schwachstelle. Ein Angreifer mit geringen Rechten und Fernzugriff könnte diese ausnutzen, was zu einer Codeausführung führen kann. CVSS-Basiswert: 8.8 (Hoch).

In Dell PowerProtect DD (Versionen vor 8.0, LTS 7.13.1.0, LTS 7.10.1.30 und LTS 7.7.5.40) besteht in einer Admin-Operation eine OS-Command-Injection-Schwachstelle. Ein entfernter Angreifer mit niedrigen Rechten kann darüber beliebige Betriebssystembefehle mit den Rechten der Anwendung ausführen, was zur vollständigen Übernahme des Systems führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der vom Hersteller korrigierten Versionen.

SCG Policy Manager enthält in allen Versionen eine zu freizügige Cross-Origin Resource Policy (CORP). Ein nicht authentifizierter Angreifer aus der Ferne könnte diese Schwachstelle potenziell ausnutzen, um im Kontext eines authentifizierten Nutzers schädliche Aktionen in der Anwendung auszuführen. CVSS-Basiswert: 7.5 (Hoch).

Das Telemetry Dashboard v1.0.0.8 für Dell ThinOS 2402 enthält eine Schwachstelle, durch die sensible Informationen offengelegt werden können. Ein nicht authentifizierter Nutzer mit lokalem Zugriff auf das Gerät könnte diese Lücke zur Offenlegung von Informationen ausnutzen. CVSS-Basiswert: 7.5 (Hoch).

Die BIOS-Software der Dell Client Platform enthält in einer extern entwickelten Komponente eine Schwachstelle durch unzureichende Eingabevalidierung. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann dies ausnutzen, um beliebigen Code zur Ausführung zu bringen. CVSS-Basiswert: 7.5 (Hoch).

Die BIOS-Firmware der Dell Client Platform enthält in einer extern entwickelten Komponente eine unzureichende Eingabevalidierung. Ein bereits hoch privilegierter Angreifer mit lokalem Zugriff kann die Schwachstelle ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Betroffen sind laut Datenlage Dell (BIOS/DSA), Dell EMC (PowerStore/Isilon/Unity) sowie AMD.