Dell EMC (PowerStore/Isilon/Unity) Seite 5

Dell SmartFabric OS10 Software in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x enthält eine Schwachstelle durch Ausführung mit unnötigen Privilegien. Ein niedrig privilegierter Angreifer mit Fernzugriff könnte sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Aktualisierungen einspielen.

Dell SmartFabric OS10 in Version 10.5.6.x enthält eine Schwachstelle durch ein fest codiertes Passwort (Hard-coded Password). Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte sie ausnutzen und unbefugten Zugriff erlangen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

Dell SmartFabric OS10 (Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x) enthält laut NVD ein per Standard gesetztes Passwort (Use of Default Password). Ein gering privilegierter Angreifer mit Fernzugriff kann dies ausnutzen und unautorisierten Zugang erlangen. CVSS-Basiswert: 8.8 (Hoch).

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Command-Injection-Schwachstelle (unzureichende Neutralisierung spezieller Elemente in Befehlen). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber Befehle ausführen. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Eine Fix-Version ist in den Quelldaten nicht ausgewiesen.

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Schwachstelle durch fehlerhafte Rechtezuweisung (Incorrect Privilege Assignment). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte ausweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Eine Fix-Version ist in den Quelldaten nicht ausgewiesen.

Dell SmartFabric OS10 enthält in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x eine Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in Befehlen). Ein Angreifer mit geringen Rechten und lokalem Zugriff kann dadurch Befehle mit erhöhten Privilegien ausführen. Der Angriff erfordert laut CVSS-Vektor keine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Dell SmartFabric OS10 in den Versionen 10.5.4.x, 10.5.5.x, 10.5.6.x und 10.6.0.x enthält eine Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in a Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen und Code ausführen. Bei Erfolg sind Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell ThinOS 2411 und frühere Versionen enthalten eine Command-Injection-Schwachstelle (Improper Neutralization of Special Elements used in a Command). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Schwachstelle ausnutzen und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung ist derzeit nicht belegt.

Das Dell Client Platform BIOS enthält eine Schwachstelle durch schwache Authentifizierung. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.2 (Hoch).

Die Dell NetWorker Management Console in den Versionen 19.11 bis 19.11.0.3 sowie in Versionen vor 19.10.0.7 enthält eine Schwachstelle durch unzureichende serverseitige Neutralisierung von Eingaben. Ein nicht authentifizierter Angreifer mit lokalem Zugriff kann darüber beliebigen Code auf dem Server ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version ausserhalb der genannten betroffenen Versionsstände aktualisieren.

Dell SupportAssist OS Recovery enthält vor Version 5.5.13.1 eine Schwachstelle durch einen Symbolic-Link-Angriff. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen, um beliebige Dateien zu löschen und seine Rechte auszuweiten. CVSS-Basiswert: 7.0 (Hoch). Betroffen sind Dell-Systeme mit BIOS/DSA sowie Dell-EMC-Umgebungen (PowerStore, Isilon, Unity).

Dell UCC Edge in Version 2.3.0 enthält eine Blind-SSRF-Schwachstelle in der Funktion „Add Customer SFTP Server“. Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen und so eine Server-Side Request Forgery auslösen. CVSS-Basiswert: 7.9 (Hoch).

Dell PowerProtect DD enthält in Versionen vor 8.3.0.0, 7.10.1.50 und 7.13.1.20 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler böswilliger Benutzer mit niedrigen Privilegien kann sie potenziell ausnutzen, um seine Rechte auszuweiten. Laut CVSS-Vektor ist der Angriff ohne Benutzerinteraktion möglich; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf PowerProtect DD 8.3.0.0, 7.10.1.50 bzw. 7.13.1.20 oder neuer.

Dell PowerProtect DD vor DDOS 8.3.0.0, 7.10.1.50 und 7.13.1.20 enthält laut NVD eine Path-Traversal-Schwachstelle. Ein lokaler, gering privilegierter Benutzer kann dadurch unautorisiert im Dateisystem des Servers gespeicherte Betriebssystemdateien überschreiben. Die Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.1 (Hoch).

Dell Networking Switches mit Enterprise SONiC OS vor Version 4.4.1 und 4.2.3 enthalten laut NVD eine Schwachstelle, bei der sensible Informationen in eine Logdatei geschrieben werden. Ein hoch privilegierter Angreifer mit Fernzugriff könnte dies ausnutzen und so an offengelegte Informationen gelangen. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 4.4.1 bzw. 4.2.3 oder neuer.

Dell NetWorker enthält in Versionen vor 19.11.0.3 sowie in allen Versionen 19.10 und älter eine Unquoted-Search-Path-Schwachstelle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke potenziell ausnutzen und dadurch Code ausführen. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 19.11.0.3 oder neuer aktualisieren.

Dell VxRail enthält laut NVD-Eintrag in den Versionen 7.0.000 bis 7.0.532 eine Schwachstelle durch Klartextspeicherung eines Passworts. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann diese Schwachstelle ausnutzen und dadurch Informationen offenlegen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

Dell VxRail speichert in den Versionen 8.0.000 bis 8.0.311 Passwörter im Klartext. Ein Angreifer mit erhöhten Rechten und lokalem Zugriff kann diese Schwachstelle potenziell ausnutzen, um Informationen offenzulegen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das Dell Update Package Framework vor Version 22.01.02 enthält eine Schwachstelle zur lokalen Rechteausweitung. Ein lokaler Angreifer mit geringen Rechten könnte diese ausnutzen, um beliebige Remote-Skripte auf dem Server auszuführen; die Ausnutzung kann zudem zu einem Denial of Service führen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 22.01.02 oder neuer.

Dell ECS enthält vor Version 3.8.1.3 eine Schwachstelle durch einen arithmetischen Überlauf bei der Verarbeitung von Aufbewahrungsfristen. Ein authentifizierter Benutzer mit Bucket- oder Objektzugriff und den nötigen Rechten könnte sie ausnutzen, um Aufbewahrungsrichtlinien zu umgehen und Objekte zu löschen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Auf Dell ECS 3.8.1.3 oder neuer aktualisieren.

Dell NativeEdge enthält in Version 2.1.0.0 eine Schwachstelle vom Typ Execution with Unnecessary Privileges. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte auf dem System ausweiten. Betroffen ist laut NVD die Version 2.1.0.0. CVSS-Basiswert: 7.8 (Hoch).

Dell NativeEdge Version 2.1.0.0 enthält eine Schwachstelle zur Offenlegung sensibler Informationen über Metadaten. Ein nicht authentifizierter Angreifer mit Fernzugriff kann dies potenziell ausnutzen, was zu einer Informationsoffenlegung führt. CVSS-Basiswert: 7.5 (Hoch).

Dell SupportAssist for Home PCs (Versionen 4.6.1 und früher) sowie Dell SupportAssist for Business PCs (Versionen 4.5.0 und früher) enthalten eine Symlink-Angriff-Schwachstelle in der Software-Remediation-Komponente. Ein niedrig privilegierter, authentifizierter Nutzer kann diese Schwachstelle ausnutzen, um seine Rechte zu erweitern, was zum beliebigen Löschen von Dateien und Ordnern auf dem System führt. CVSS-Basiswert: 7.1 (Hoch).

Der Dell Inventory Collector Client enthält in Versionen vor 12.7.0 eine Schwachstelle vom Typ Improper Link Resolution Before File Access. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Rechte ausweiten und unautorisiert auf das Dateisystem zugreifen. Betroffen sind laut NVD alle Versionen vor 12.7.0. CVSS-Basiswert: 7.8 (Hoch).

Dell RecoverPoint for Virtual Machines 6.0.x enthält eine OS-Command-Injection-Schwachstelle. Ein entfernter Angreifer mit niedrigen Rechten kann beliebige Befehle als root ausführen und so vollständigen Zugriff auf das System erlangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Das BIOS der Dell Client Platform enthält in einer extern entwickelten Komponente eine Schwachstelle durch unzureichende Eingabevalidierung. Ein Angreifer mit hohen Rechten und lokalem Zugriff kann diese ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt nicht vor, die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Dell ThinOS Version 2408 enthält eine unzureichende Neutralisierung von Sonderzeichen in einem Befehl (Command-Injection). Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte diese Schwachstelle ausnutzen, was zur Ausführung von Befehlen führen kann. CVSS-Basiswert: 8.4 (Hoch).

Dell ThinOS in Version 2408 enthält eine Time-of-check-Time-of-use-(TOCTOU)-Race-Condition. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke potenziell ausnutzen und dadurch seine Rechte ausweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. CVSS-Basiswert: 7.8 (Hoch).

Dell VxVerify speichert vor Version x.40.405 Zugangsdaten im Shell-Wrapper im Klartext. Ein lokaler Angreifer mit hohen Rechten kann diese Schwachstelle ausnutzen, um bestimmte Benutzerdaten offenzulegen, und die offengelegten Zugangsdaten anschliessend nutzen, um mit den Rechten des betroffenen Kontos auf die verwundbare Komponente zuzugreifen. CVSS-Basiswert: 7.2 (Hoch).

Mehrere Dell-Produkte, darunter PowerFlex Appliance, PowerFlex Rack, PowerFlex Custom Node mit PowerFlex Manager, InsightIQ und Data Lakehouse, enthalten in bestimmten Versionen eine Schwachstelle durch unsichere Speicherung sensibler Informationen. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann sie ausnutzen und Informationen offenlegen, die zum unbefugten Zugriff auf Pods innerhalb des Clusters genutzt werden können. CVSS-Basiswert: 8.2 (Hoch).

Dell Avamar enthält in Versionen vor 19.12 mit Patch 338905 (ausgenommen 19.10 und 19.10SP1 mit Patch 338869) eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in SQL-Befehlen. Ein unauthentifizierter Angreifer mit Fernzugriff kann diese Schwachstelle potenziell ausnutzen, um Befehle auszuführen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 19.12 mit Patch 338905 bzw. auf 19.10 oder 19.10SP1 mit Patch 338869 einspielen.

Dell Avamar vor Version 19.12 mit Patch 338905 (ausser 19.10 und 19.10SP1 mit Patch 338869) enthält eine unzureichende Neutralisierung von Sonderzeichen bei SQL-Befehlen (SQL-Injection). Ein niedrig privilegierter Angreifer mit Remote-Zugriff kann die Schwachstelle potenziell ausnutzen, um Skript-Injection durchzuführen. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update gemäss Dell-Advisory auf die gepatchten Versionen einspielen.

Dell Avamar enthält vor Version 19.12 mit Patch 338905 (mit Ausnahme von 19.10 und 19.10SP1 mit Patch 338869) eine SQL-Injection-Schwachstelle. Ein Angreifer mit geringen Rechten und Fernzugriff kann diese potenziell zur Codeausführung ausnutzen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Patch 338905 (Version 19.12) bzw. Patch 338869 (19.10/19.10SP1) einspielen.

Dell Power Manager (DPM) enthält in Versionen vor 3.17 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann die Lücke ausnutzen, um Code auszuführen und seine Rechte auszuweiten. Laut CVSS-Vektor ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Dell Power Manager 3.17 oder neuer aktualisieren.

Dell NetWorker Version 19.10 enthält eine Autorisierungsumgehung über einen benutzerkontrollierten Schlüssel (Authorization Bypass Through User-Controlled Key). Ein nicht authentifizierter Angreifer mit entferntem Zugang könnte die Schwachstelle ausnutzen und so an vertrauliche Informationen gelangen. CVSS-Basiswert: 8.3 (Hoch).

Die Dell NetWorker Management Console in Version 19.11 enthält eine Schwachstelle bei der Überprüfung kryptografischer Signaturen (Improper Verification of Cryptographic Signature). Ein nicht authentifizierter Angreifer mit lokalem Zugriff kann diese Lücke ausnutzen und Code auf dem System ausführen; laut CVSS-Vektor ist dafür Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Installationen sollten die Herstellerhinweise von Dell prüfen.

Dell Wyse Management Suite (WMS) in Version 4.4 und früheren Versionen enthält eine Schwachstelle zur Authentifizierungsumgehung mittels Capture-Replay. Ein hochprivilegierter Angreifer mit Fernzugriff kann diese ausnutzen, was zu einem Denial of Service führen kann. CVSS-Basiswert: 7.6 (Hoch).

Dell Wyse Management Suite enthält bis Version WMS 4.4 eine Schwachstelle durch unzureichende Begrenzung von Authentifizierungsversuchen. Ein hochprivilegierter Angreifer mit Fernzugriff kann dadurch den Schutzmechanismus umgehen. CVSS-Basiswert: 7.6 (Hoch).

Die Dell SmartFabric OS10 Software in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle vom Typ Execution with Unnecessary Privileges. Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann darüber Befehle zur Ausführung bringen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Systeme sollten gemäss Herstellerangaben aktualisiert werden.

Die Dell SmartFabric OS10 Software in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in Befehlen (Command Injection). Ein Angreifer mit niedrigen Privilegien und lokalem Zugriff kann darüber eigenen Code zur Ausführung bringen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Systeme sollten gemäss Herstellerangaben aktualisiert werden.

Dell SmartFabric OS10 in den Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthält eine Schwachstelle in der Privilegienverwaltung (Improper Privilege Management). Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber seine Privilegien auf dem System ausweiten. CVSS-Basiswert: 7.8 (Hoch). Betreiber betroffener Systeme sollten die Herstellerhinweise von Dell prüfen und lokale Konten restriktiv verwalten.

Die Dell SmartFabric OS10 Software enthält eine Command-Injection-Schwachstelle. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann darüber eigene Befehle ausführen. Betroffen sind laut NVD die Versionszweige 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x. CVSS-Basiswert: 7.8 (Hoch).

Dell OpenManage Enterprise in Version OME 4.1 und früher enthält eine Code-Injection-Schwachstelle durch unzureichende Kontrolle der Codegenerierung. Ein Angreifer mit niedrigen Rechten und Fernzugriff könnte diese Lücke ausnutzen und dadurch Code ausführen. CVSS-Basiswert: 8 (Hoch).

Dell SmartFabric OS10 Software (Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x, 10.5.3.x) enthält eine Uncontrolled-Resource-Consumption-Schwachstelle. Ein entfernter, nicht authentifizierter Host könnte diese ausnutzen, um einen Denial of Service herbeizuführen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

Dell SmartFabric OS10 Software (Versionen 10.5.6.x, 10.5.5.x, 10.5.4.x, 10.5.3.x) enthält eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Kommando (Command Injection). Ein Angreifer mit geringen Rechten und Remote-Zugriff kann diese Lücke ausnutzen, um Code auszuführen. CVSS-Basiswert: 7.1 (Hoch).

Dell PowerScale InsightIQ in den Versionen 5.0 bis 5.1 enthält eine Schwachstelle durch die Verwendung eines fehlerhaften oder riskanten kryptografischen Algorithmus. Ein nicht authentifizierter Angreifer mit entferntem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.1 (Hoch).

Dell ThinOS in den Versionen 2402 und 2405 enthält eine Schwachstelle zur unzureichenden Neutralisierung von Sonderzeichen in einem Befehl (Command Injection). Ein nicht authentifizierter Angreifer mit physischem Zugriff auf das Gerät kann diese ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.6 (Hoch).

Dell PowerScale InsightIQ (Versionen 5.0 bis 5.1) enthält eine Schwachstelle, durch die Dateien oder Verzeichnisse für externe Parteien zugänglich sind. Ein unauthentifizierter Angreifer mit Fernzugriff könnte dies ausnutzen, um beliebige Dateien zu lesen, zu verändern oder zu löschen. CVSS-Basiswert: 7.3 (Hoch).

Dell SmartFabric OS10 Software enthält laut NVD in den Versionen 10.5.5.4 bis 10.5.5.10 und 10.5.6.x eine Schwachstelle durch ein hartkodiertes Passwort. Ein Angreifer mit geringen Rechten und Fernzugriff könnte dies ausnutzen, was zu clientseitiger Request-Forgery und Informationsoffenlegung führt. CVSS-Basiswert: 7.9 (Hoch).

Dell SmartFabric OS10 Software in den Versionen 10.5.5.4 bis 10.5.5.10 sowie 10.5.6.x enthält eine Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in einem Befehl (Command Injection). Ein Angreifer mit niedrigen Rechten und Fernzugriff könnte diese Schwachstelle potenziell ausnutzen, um Befehle auszuführen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.