Dell EMC (PowerStore/Isilon/Unity) Seite 4

Dell PowerProtect Data Manager (Generic Application Agent) enthält in den Versionen 19.19 und 19.20 eine Schwachstelle durch fehlerhafte Standardberechtigungen (Incorrect Default Permissions). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ohne Benutzerinteraktion ausnutzen und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch).

Dell PowerProtect Data Manager in den Versionen 19.19 und 19.20 enthält in der Hyper-V-Komponente eine Schwachstelle durch fehlerhafte Standardberechtigungen (Incorrect Default Permissions). Ein niedrig privilegierter Angreifer mit lokalem Zugriff kann dies ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.0 (Hoch).

Dell ThinOS 10 in Versionen vor 2508_10.0127 enthält eine Argument-Injection-Schwachstelle durch unzureichende Neutralisierung von Argumenttrennern in einem Befehl. Ein lokaler, nicht authentifizierter Nutzer kann sie potenziell ausnutzen und dadurch Rechte ausweiten und Informationen offenlegen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf ThinOS 10 Version 2508_10.0127 oder neuer.

Dell ThinOS 10 in Versionen vor 2508_10.0127 enthält eine fehlerhafte Berechtigungszuweisung für eine kritische Ressource (Incorrect Permission Assignment for Critical Resource). Ein lokaler Angreifer mit niedrigen Rechten kann die Schwachstelle potenziell ausnutzen, um seine Rechte auszuweiten und unautorisierten Zugriff zu erlangen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt. Empfohlene Massnahme: Update auf ThinOS 10 Version 2508_10.0127 oder neuer.

Dell ThinOS 10 in Versionen vor 2508_10.0127 enthält eine Unverified-Ownership-Schwachstelle. Ein lokaler Angreifer mit niedrigen Rechten kann sie potenziell ausnutzen und so unautorisierten Zugriff erlangen; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: ThinOS auf Version 2508_10.0127 oder neuer aktualisieren.

Das Dell iDRAC Service Module (iSM) enthält in Versionen vor 6.0.3.0 eine Schwachstelle vom Typ Buffer Access with Incorrect Length Value. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke potenziell ausnutzen, um Code auszuführen und seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: das iDRAC Service Module auf Version 6.0.3.0 oder neuer aktualisieren.

Dell SupportAssist OS Recovery in Versionen vor 5.5.14.0 enthält eine Schwachstelle durch das Anlegen temporärer Dateien mit unsicheren Berechtigungen. Ein lokaler authentifizierter Angreifer könnte dies ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 5.5.14.0 oder neuer.

Dell Avamar in Versionen vor 19.10 SP1 mit Patch 338904 enthält im Sicherheitsbereich eine Schwachstelle durch serverseitiges Vertrauen in HTTP-Berechtigungsmethoden. Ein niedrig privilegierter Angreifer mit Fernzugriff kann sie potenziell ausnutzen und dadurch zu einer Offenlegung von Informationen führen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 19.10 SP1 mit Patch 338904.

Dell ECS in Versionen vor 3.8.1.5 und ObjectScale Version 4.0.0.0 enthalten eine Schwachstelle durch die Verwendung eines fest codierten kryptografischen Schlüssels. Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte dies ausnutzen und so unbefugten Zugriff erlangen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Update auf Version 3.8.1.5.

Dell PowerProtect Data Domain mit Data Domain Operating System (DD OS) enthält in der DDSH CLI eine OS-Command-Injection-Schwachstelle. Betroffen sind die Feature-Release-Versionen 7.7.1.0 bis 8.1.0.10, die LTS2024-Versionen 7.13.1.0 bis 7.13.1.25 und die LTS2023-Versionen 7.10.1.0 bis 7.10.1.50. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber beliebige Befehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity in Version 5.5 und früher enthält eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_nfssupport. Ein authentifizierter Angreifer kann darüber aus der eingeschränkten Shell ausbrechen und beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity in Version 5.5 und früher enthält eine OS-Command-Injection-Schwachstelle im svc_nas-Utility. Ein authentifizierter Angreifer kann die eingeschränkte Shell verlassen und beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version nach 5.5 gemäss Hersteller-Advisory aktualisieren.

Dell Enterprise SONiC OS Version 4.5.0 enthält eine Schwachstelle im Umgang mit kryptografischen Schlüsseln in SSH. Ein nicht authentifizierter Angreifer könnte diese aus der Ferne ausnutzen und sich so unautorisierten Zugriff auf die Kommunikation verschaffen. CVSS-Basiswert: 7.5 (Hoch).

Dell Unity enthält in Version 5.5 und früher eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen (OS Command Injection). Ein unauthentifizierter Angreifer mit Fernzugriff kann dies laut Quelle ausnutzen, um beliebige Befehle auszuführen. CVSS-Basiswert: 7.3 (Hoch).

In Dell Digital Delivery vor Version 5.6.1.0 besteht eine Schwachstelle durch unzureichend geschützte Zugangsdaten. Ein entfernter, nicht authentifizierter Angreifer könnte diese Lücke ausnutzen und dadurch vertrauliche Informationen offenlegen. CVSS-Basiswert: 7.2 (Hoch).

TechAdvisor in den Versionen 2.6 bis 3.37-30 für Dell XtremIO X2 schreibt sensible Informationen in eine Logdatei. Ein lokaler Angreifer mit geringen Rechten kann diese Schwachstelle ausnutzen und die offengelegten Zugangsdaten verwenden, um mit den Rechten des kompromittierten Kontos auf die Anwendung zuzugreifen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Sicherheitsupdates einspielen.

Dell XtremIO in Version 6.4.0-22 schreibt sensible Informationen ungeschützt in eine Log-Datei. Ein Angreifer mit geringen Rechten und lokalem Zugriff könnte diese Schwachstelle ausnutzen und die offengelegten Zugangsdaten verwenden, um mit den Rechten des kompromittierten Kontos auf die Anwendung zuzugreifen. CVSS-Basiswert: 8.8 (Hoch).

Dell Encryption und Dell Security Management Server enthalten vor Version 11.11.0 eine Schwachstelle durch unsachgemässe Auflösung von Links vor dem Dateizugriff (Link Following). Ein lokaler, böswilliger Nutzer kann dies laut Hersteller ausnutzen, um seine Rechte zu erweitern. CVSS-Basiswert: 7.3 (Hoch).

Das Dell Client Platform BIOS enthält in einer extern entwickelten Komponente eine Schwachstelle durch fehlerhafte Zugriffskontrolle auf gespiegelte bzw. aliasierte Speicherregionen. Ein hochprivilegierter Angreifer mit lokalem Zugriff könnte dies zur Codeausführung ausnutzen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das vom Hersteller bereitgestellte BIOS-Update einspielen.

Dell OpenManage Network Integration vor Version 3.8 enthält eine Schwachstelle zur Authentifizierungsumgehung durch Capture-Replay im RADIUS-Protokoll. Ein Angreifer mit lokalem Netzwerkzugang kann eine gültige Protokoll-Accept-Nachricht als Antwort auf eine fehlgeschlagene Authentifizierungsanfrage fälschen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 3.8 oder neuer aktualisieren.

Dell Unisphere für PowerMax vApp in Version 9.2.4.x enthält eine Schwachstelle durch unzureichende Neutralisierung von Direktiven in statisch gespeichertem Code (Static Code Injection). Ein hoch privilegierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, um Code auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Dell iDRAC Tools in Versionen vor 11.3.0.0 enthalten eine Improper-Access-Control-Schwachstelle. Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke ausnutzen und so seine Rechte ausweiten. Eine Benutzerinteraktion ist laut CVSS-Vektor nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung der iDRAC Tools auf Version 11.3.0.0 oder neuer.

Die Firmware des Dell Smart Dock vor Version 01.00.08.01 enthält eine Schwachstelle, bei der sensible Informationen in eine Log-Datei geschrieben werden. Ein Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen, um Informationen offenzulegen. CVSS-Basiswert: 7.1 (Hoch).

Dell Wyse Management Suite enthält in Versionen vor WMS 5.2 eine Schwachstelle durch absoluten Path Traversal. Ein unauthentifizierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, was zu Informationsoffenlegung und unautorisiertem Zugriff führen kann. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf WMS 5.2 oder neuer einspielen.

Dell Wyse Management Suite enthält in Versionen vor WMS 5.2 eine Schwachstelle, durch die sensible Informationen über Datenabfragen offengelegt werden. Ein nicht authentifizierter Angreifer mit Fernzugriff kann dies potenziell ausnutzen, um vertrauliche Daten einzusehen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Dell Wyse Management Suite WMS 5.2 oder neuer.

Dell Encryption Admin Utilities in Versionen vor 11.10.2 enthalten eine Improper-Link-Resolution-Schwachstelle (fehlerhafte Auflösung von Dateiverknüpfungen vor dem Dateizugriff). Ein lokaler böswilliger Benutzer kann diese Schwachstelle potenziell ausnutzen und dadurch seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 11.10.2 oder neuer aktualisieren.

Dell PowerScale InsightIQ in den Versionen 5.0 bis 5.2 enthält eine Schwachstelle durch fehlerhafte Rechteverwaltung. Ein nicht authentifizierter Angreifer mit entferntem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.1 (Hoch).

Dell PowerScale OneFS enthält in den Versionen 9.4.0.0 bis 9.9.0.0 laut NVD eine Schwachstelle durch unkontrollierten Ressourcenverbrauch. Ein entfernter, nicht privilegierter Angreifer könnte diese ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 7.5 (Hoch).

Der Dell Storage Manager (Dell Storage Center) in Version 20.1.20 weist eine Schwachstelle bei der Authentifizierung auf. Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk kann die Lücke potenziell ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 8.3 (Hoch).

Dell Storage Center beziehungsweise Dell Storage Manager in Version 20.1.20 enthält eine Schwachstelle durch unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE). Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk könnte diese ausnutzen, um Informationen offenzulegen oder zu verändern. CVSS-Basiswert: 8.1 (Hoch).

Dell PowerProtect Data Manager Reporting in Version 19.17 enthält eine Schwachstelle durch fehlerhafte Nutzung privilegierter APIs (Incorrect Use of Privileged APIs). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen und seine Privilegien ausweiten. Bei Erfolg sind Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell PowerScale OneFS in den Versionen 9.4.0.0 bis 9.10.0.1 enthält laut NVD eine fehlerhafte Autorisierungsprüfung. Ein unauthentifizierter Angreifer mit lokalem Zugriff kann dadurch potenziell mit den vorherigen Rechten eines deaktivierten Benutzerkontos auf den Cluster zugreifen. CVSS-Basiswert: 7.0 (Hoch).

Dell Common Event Enabler in Version CEE 9.0.0.0 enthält im Common Anti-Virus Agent (CAVA) eine Schwachstelle durch unzureichende Beschränkung des Kommunikationskanals auf die vorgesehenen Endpunkte. Ein nicht authentifizierter Angreifer mit Remote-Zugriff könnte sie ausnutzen und unbefugten Zugriff erlangen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

Dell PowerProtect Data Domain mit dem Data Domain Operating System (DD OS) vor Version 8.3.0.15 weist eine unzureichend granulare Zugriffskontrolle auf. Ein authentifizierter Benutzer von einem vertrauenswürdigen Remote-Client kann dadurch beliebige Befehle mit root-Rechten ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf DD OS 8.3.0.15 oder neuer.

Dell Wyse Management Suite vor Version 5.1 enthält eine Schwachstelle durch Offenlegung sensibler Informationen über Datenabfragen. Ein nicht authentifizierter Angreifer mit Fernzugriff kann diese laut Hersteller potenziell ausnutzen, was zu einer Offenlegung von Informationen führt. CVSS-Basiswert: 7.5 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine Open-Redirect-Schwachstelle (URL-Umleitung auf nicht vertrauenswürdige Seiten). Ein nicht authentifizierter Angreifer mit Fernzugriff könnte einen Zielbenutzer auf beliebige Web-URLs umleiten und dies für Phishing nutzen; eine Ausnutzung kann zum Diebstahl von Sitzungen führen. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen, die eine OS Command Injection ermöglicht. Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann dadurch beliebige Betriebssystembefehle mit Root-Rechten ausführen und seine Privilegien ausweiten. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: betroffene Unity-Systeme auf eine Version nach 5.4 aktualisieren.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber beliebige Betriebssystembefehle mit Root-Rechten ausführen und so seine Privilegien ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Dell-Unity-Systeme sollten die Herstellerhinweise prüfen und lokale Zugriffe restriktiv vergeben.

Dell Unity enthält in den Versionen 5.4 und älter eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. Betroffen sind laut NVD die Versionen 5.4 und früher. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Systeme sollten die Verwundbarkeit ihrer Version prüfen.

Dell Unity in Version 5.4 und früher enthält laut NVD eine weitere OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystem-Kommandos). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff könnte die Lücke ausnutzen und dadurch Code ausführen sowie seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine konkrete Massnahme ist in den Quelldaten nicht ausgewiesen; die von Dell bereitgestellten Updates für Unity sollten geprüft werden.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke potenziell ausnutzen, um Befehle auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Produkte von Dell.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in an OS Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Schwachstelle ausnutzen, Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung ist derzeit nicht belegt.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann darüber Befehle ausführen und seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzung ist bislang nicht als aktiv ausgewiesen.

Dell Unity in Version 5.4 und früher enthält laut NVD eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystem-Kommandos). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff könnte die Lücke ausnutzen und dadurch Code ausführen sowie seine Rechte ausweiten. CVSS-Basiswert: 7.8 (Hoch). Eine konkrete Massnahme ist in den Quelldaten nicht ausgewiesen; die von Dell bereitgestellten Updates für Unity sollten geprüft werden.

Dell Unity in Version 5.4 und früher enthält eine OS-Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Betriebssystembefehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann diese Lücke potenziell ausnutzen, um Befehle auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Produkte von Dell.

Dell Unity enthält in Version 5.4 und früher eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Betriebssystembefehl (OS Command Injection). Ein nicht authentifizierter Angreifer mit Remote-Zugriff könnte diese Schwachstelle ausnutzen und beliebige Befehle ausführen. CVSS-Basiswert: 7.3 (Hoch).

Dell Unity in Version 5.4 und früher enthält laut NVD eine OS-Command-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen. Ein nicht authentifizierter Angreifer mit Remote-Zugriff kann dies zur Befehlsausführung ausnutzen. CVSS-Basiswert: 7.3 (Hoch).

Die Dell Chassis Management Controller Firmware für PowerEdge FX2 (vor 2.40.200.202101130302) und für PowerEdge VRTX (vor 3.41.200.202209300499) enthält einen stapelbasierten Pufferüberlauf. Ein nicht authentifizierter Angreifer mit entferntem Zugriff könnte die Schwachstelle ausnutzen und Code aus der Ferne ausführen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: die betroffene Firmware auf die vom Hersteller genannten Versionen aktualisieren.

Dell ThinOS 2408 und frühere Versionen enthalten eine Schwachstelle durch fehlerhaft gesetzte Berechtigungen. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann diese ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch).