Dell EMC (PowerStore/Isilon/Unity) Seite 6

Die BIOS-Firmware der Dell Client Platform enthält in einer extern entwickelten Komponente eine unzureichende Eingabevalidierung. Ein bereits hoch privilegierter Angreifer mit lokalem Zugriff kann die Schwachstelle ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Betroffen sind laut Datenlage Dell (BIOS/DSA), Dell EMC (PowerStore/Isilon/Unity) sowie AMD.

Dell Client Platform BIOS enthält in einer extern entwickelten Komponente eine Schwachstelle durch unzureichende Eingabevalidierung. Ein Angreifer mit erhöhten Rechten und lokalem Zugriff könnte diese Lücke ausnutzen, um Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Die Quelle nennt die Lücke im Zusammenhang mit Dell- und AMD-Komponenten.

Dell OS10 Networking Switches der Versionsreihen 10.5.6.x, 10.5.5.x, 10.5.4.x und 10.5.3.x enthalten eine Schwachstelle bei der Autorisierung. Ein entfernt authentifizierter Angreifer könnte diese ausnutzen und seine Rechte ausweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Updates einspielen.

Dell Common Event Enabler enthält in Version 8.9.10.0 und früher eine unsichere Deserialisierungs-Schwachstelle in CAVATools. Ein lokaler, nicht authentifizierter Angreifer könnte diese ausnutzen, um beliebigen Code im Kontext des angemeldeten Nutzers auszuführen. Die Ausnutzung setzt voraus, dass ein Opfer eine bösartige Datei öffnet. CVSS-Basiswert: 7.8 (Hoch). Weitere Kennzahlen wie EPSS liegen in den Quelldaten nicht vor.

Dell OpenManage Server Administrator, Versionen 11.0.1.0 und früher, enthält eine lokale Rechteausweitungs-Schwachstelle über XSL Hijacking. Ein lokaler, wenig privilegierter böswilliger Nutzer könnte diese Schwachstelle ausnutzen und seine Rechte auf den Admin-Nutzer ausweiten, wodurch die volle Kontrolle über die Maschine erlangt werden kann. Die Ausnutzung kann laut Quelle zu einer vollständigen Kompromittierung des Systems führen. CVSS-Basiswert: 7.3 (Hoch).

Das BIOS betroffener Dell-Systeme weist eine Schwachstelle durch fehlende Unterstützung für eine Integritätsprüfung auf. Ein Angreifer mit physischem Zugriff auf das System kann dadurch Sicherheitsmechanismen umgehen und beliebigen Code auf dem System ausführen. CVSS-Basiswert: 7.6 (Hoch).

Dell PowerScale OneFS in den Versionen 8.2.x bis 9.8.0.x enthält eine Schwachstelle durch fest codierte Zugangsdaten. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk könnte sie ausnutzen und dadurch Netzwerkverkehr offenlegen sowie einen Denial of Service herbeiführen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

Dell Data Protection Advisor Version 19.9 enthält eine Schwachstelle durch unzureichende Verschlüsselungsstärke. Ein niedrig privilegierter Angreifer mit Fernzugriff kann dadurch einen Denial-of-Service verursachen. CVSS-Basiswert: 7.6 (Hoch).

Dell BIOS enthält laut NVD eine Improper-Input-Validation-Schwachstelle. Ein lokal authentifizierter Angreifer mit Administratorrechten kann diese ausnutzen und dadurch beliebigen Code ausführen. CVSS-Basiswert: 7.5 (Hoch).

Dell Repository Manager vor Version 3.4.5 enthält im API-Modul eine Path-Traversal-Schwachstelle. Ein lokaler Angreifer mit niedrigen Rechten kann dadurch unberechtigten Schreibzugriff auf Dateien im Dateisystem des Servers mit den Rechten der laufenden Webanwendung erlangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Dell Repository Manager 3.4.5 oder neuer.

Dell Alienware Command Center vor Version 6.2.7.0 enthält eine Schwachstelle durch ein unkontrolliertes Suchpfad-Element (Uncontrolled Search Path Element). Ein lokaler, böswilliger Benutzer kann dadurch potenziell schädliche Dateien in den Datei-Suchpfad einschleusen, was zu einer Kompromittierung des Systems führen kann. CVSS-Basiswert: 7.4 (Hoch).

Das BIOS von Dell PowerEdge Server und Dell Precision Rack enthält eine Schwachstelle durch fehlerhafte Rechteverwaltung. Ein nicht authentifizierter lokaler Angreifer könnte diese Schwachstelle ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 7.9 (Hoch).

Dell PowerScale OneFS schreibt in den Versionen 9.4.0.x bis 9.7.0.x sensible Informationen in Protokolldateien. Ein lokaler Angreifer mit geringen Privilegien kann dies ausnutzen, um an vertrauliche Informationen zu gelangen und seine Rechte auszuweiten. CVSS-Basiswert: 7.9 (Hoch).

Dell PowerScale OneFS in den Versionen 8.2.2.x bis 9.7.0.x überträgt sensible Informationen im Klartext. Ein lokaler Angreifer mit geringen Rechten kann dies ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.3 (Hoch).

Dell vApp Manager enthält in Versionen vor 9.2.4.9 eine Command-Injection- Schwachstelle. Ein autorisierter Angreifer kann diese Schwachstelle potenziell ausnutzen, um ein eingeschleustes Kommando zur Ausführung zu bringen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Dell empfiehlt Kunden, so bald wie möglich auf Version 9.2.4.9 oder höher zu aktualisieren.

Dell vApp Manager enthält in Versionen vor 9.2.4.9 eine Command-Injection-Schwachstelle. Ein autorisierter Angreifer könnte diese ausnutzen, um einen eingeschleusten Befehl auszuführen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Laut Dell sollten Kunden so bald wie möglich aktualisieren.

Dell InsightIQ in Version 5.0 enthält eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein entfernter Angreifer mit niedrigen Rechten könnte sie ausnutzen und unbefugten Zugriff auf Monitoring-Daten erlangen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von Dell einspielen.

In der BIOS-Firmware von Dell PowerEdge Servern besteht eine Schwachstelle, die einen heap-basierten Pufferüberlauf ermöglicht. Ein lokaler Angreifer mit hohen Rechten kann diese Lücke ausnutzen, um Schreibzugriff auf eigentlich nicht autorisierten Speicher zu erlangen. CVSS-Basiswert: 7.2 (Hoch). Betroffen sind laut Zuordnung Dell (BIOS/DSA) sowie Dell EMC (PowerStore/Isilon/Unity).

Die BIOS-Firmware von Dell PowerEdge Servern und Dell Precision Rack enthält eine Schwachstelle bei der Verifikation des SMM-Kommunikationspuffers. Ein lokaler Angreifer mit geringen Rechten kann diese potenziell ausnutzen, um beliebige Schreiboperationen in den SMRAM durchzuführen. CVSS-Basiswert: 7.2 (Hoch).

Im lokalen RACADM besteht eine Command-Injection-Schwachstelle. Ein böswilliger, authentifizierter Benutzer kann darüber die Kontrolle über das zugrunde liegende Betriebssystem erlangen. Der Angriff erfolgt laut CVSS-Vektor aus dem angrenzenden Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 8 (Hoch).

Dell PowerScale OneFS in den Versionen 8.2.x bis 9.6.0.x verwendet einen unsicheren beziehungsweise riskanten kryptografischen Algorithmus. Ein entfernter, nicht privilegierter Angreifer kann diese Schwachstelle potenziell ausnutzen, um Vertraulichkeit und Integrität sensibler Informationen zu kompromittieren. CVSS-Basiswert: 7.4 (Hoch).

Dell Display and Peripheral Manager für macOS vor Version 1.3 weist eine unzureichende Zugriffskontrolle auf. Ein Benutzer mit geringen Rechten kann dadurch Dateien im Installationsverzeichnis verändern, um beliebigen Code auszuführen, was zu einer Rechteausweitung führt. CVSS-Basiswert: 7.3 (Hoch).

Dell Digital Delivery enthält in Versionen vor 5.2.0.0 eine Use-After-Free-Schwachstelle. Ein lokaler, niedrig privilegierter Angreifer kann diese ausnutzen, was zum Absturz der Anwendung oder zur Ausführung von beliebigem Code führen kann. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: Update auf Version 5.2.0.0 oder höher.

Dell Digital Delivery enthält in Versionen vor 5.2.0.0 eine Buffer- Overflow-Schwachstelle. Ein lokaler Angreifer mit niedrigen Rechten kann diese potenziell ausnutzen, um beliebigen Code auszuführen und/oder seine Rechte auszuweiten. CVSS-Basiswert: 7.0 (Hoch). Betroffen sind Dell-Systeme mit BIOS/DSA, Dell-EMC-Umgebungen (PowerStore, Isilon, Unity) sowie Western-Digital-Produkte.

Dell Secure Connect Gateway (SCG) Policy Manager ab Version 5.10 enthält laut NVD einen schwachen Mechanismus zur Wiederherstellung vergessener Passwörter. Ein netznaher Angreifer mit geringen Rechten könnte das Reset-Token ohne Autorisierung abrufen, das Passwort ändern und so unberechtigten Zugriff mit den Rechten des kompromittierten Kontos erlangen. CVSS-Basiswert: 8.0 (Hoch).

Dell Secure Connect Gateway (SCG) Policy Manager enthält in allen Versionen eine Stored-Cross-Site-Scripting-Schwachstelle. Ein hochprivilegierter Angreifer im angrenzenden Netzwerk kann schädlichen HTML- oder JavaScript-Code im Datenspeicher der vertrauenswürdigen Anwendung ablegen, der beim Zugriff eines Opfers im Browser ausgeführt wird. Mögliche Folgen sind Offenlegung von Informationen, Session-Diebstahl oder clientseitige Request-Fälschung. CVSS-Basiswert: 7.6 (Hoch).

Dell Secure Connect Gateway (SCG) Policy Manager enthält in allen Versionen eine gespeicherte Cross-Site-Scripting-Schwachstelle. Ein angrenzender, hochprivilegierter Netzwerkangreifer kann bösartigen HTML- oder JavaScript-Code im Datenspeicher der Anwendung hinterlegen, der beim Zugriff eines Opfers im Browser ausgeführt wird. Die Ausnutzung kann zu Informationsoffenlegung, Session-Diebstahl oder Cross-Site-Request-Forgery führen. CVSS-Basiswert: 7.6 (Hoch).

Dell Secure Connect Gateway (SCG) Policy Manager enthält in allen Versionen eine Stored-Cross-Site-Scripting-Schwachstelle auf der Policy-Seite. Ein Angreifer im angrenzenden Netzwerk mit hohen Rechten kann dadurch bösartigen HTML- oder JavaScript-Code im Datenspeicher der vertrauenswürdigen Anwendung ablegen; ruft ein Opfer die Daten im Browser auf, wird der Code im Kontext der verwundbaren Anwendung ausgeführt. Die Ausnutzung kann zu Informationsabfluss, Session-Diebstahl oder Client-seitiger Request Forgery führen. CVSS-Basiswert: 7.6 (Hoch).

Dell Secure Connect Gateway (SCG) Policy Manager enthält in allen Versionen eine gespeicherte Cross-Site-Scripting-Schwachstelle auf der Filters-Seite. Ein angrenzender, hoch privilegierter Angreifer im Netzwerk kann bösartigen HTML- oder JavaScript-Code im Datenspeicher der vertrauenswürdigen Anwendung ablegen; ruft ein Opfer diesen Datenspeicher im Browser auf, wird der Code im Kontext der verwundbaren Webanwendung ausgeführt. Die Ausnutzung kann zu Informationsoffenlegung, Session-Diebstahl oder Client-seitiger Request-Fälschung führen. CVSS-Basiswert: 7.6 (Hoch).

Dell Secure Connect Gateway 5.20 enthält eine Schwachstelle durch unsachgemässe Authentifizierung im Update-Pfad zwischen SRS und SCG. Ein entfernter Angreifer mit geringen Rechten kann diese potenziell ausnutzen, um den Server durch Vorlage eines gefälschten selbstsignierten Zertifikats zu imitieren und mit dem entfernten Server zu kommunizieren. CVSS-Basiswert: 7.1 (Hoch).

Dell RecoverPoint for Virtual Machines in den Versionen 5.3.x und 6.0.SP1 enthält eine Schwachstelle für OS-Command-Injection. Ein nicht authentifizierter Angreifer kann diese aus der Ferne ausnutzen, um beliebige Betriebssystembefehle im Kontext des Root-Benutzers auszuführen, was zu einer vollständigen Kompromittierung des Systems führt. CVSS-Basiswert: 7.2 (Hoch).

Dell ESI (Enterprise Storage Integrator) for SAP LAMA in Version 10.0 enthält in der EHAC-Komponente eine Schwachstelle zur Informationspreisgabe. Ein nicht authentifizierter Angreifer könnte den Netzwerkverkehr abhören und dadurch Admin-Zugangsdaten erlangen. CVSS-Basiswert: 7.3 (Hoch).

In Dell SupportAssist for Home PCs (Version 3.0 bis 3.14.1) und SupportAssist for Business PCs (Version 3.0 bis 3.4.1) besteht eine Schwachstelle, die lokal authentifizierte Nutzer auf dem jeweiligen PC betrifft. Sie kann eine Rechteausweitung und die Ausführung von beliebigem Code im Windows-Systemkontext ermöglichen, begrenzt auf den betroffenen lokalen PC. CVSS-Basiswert: 7.8 (Hoch).

Die Installer-Executable von Dell SupportAssist for Home PCs weist vor Version 3.13.2.19, die für die Erstinstallation verwendet wird, eine schwerwiegende Schwachstelle auf, die zu lokaler Rechteausweitung (LPE) führen kann. Betroffen sind ausschliesslich Erstinstallationen, die vor dem 8. März 2023 durchgeführt wurden. CVSS-Basiswert: 7.2 (Hoch).

Dell PowerProtect Data Manager in Version 19.15 und früheren Versionen enthält einen schwachen Mechanismus zur Wiederherstellung vergessener Passwörter. Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um sich unbefugten Zugriff mit den Rechten des betroffenen Kontos zu verschaffen. Der Angreifer kann das Token zum Zurücksetzen des Passworts ohne Autorisierung abrufen und anschliessend das Passwort ändern. CVSS-Basiswert: 8.8 (Hoch).

In Dell PowerProtect Data Manager (Version 19.15 und frühere Versionen) besteht eine OS-Command-Injection-Schwachstelle. Ein entfernter Angreifer mit hohen Rechten kann dadurch beliebige Betriebssystembefehle mit den Rechten der verwundbaren Anwendung ausführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme des Systems führen. CVSS-Basiswert: 7.2 (Hoch).

Dell Unity vor Version 5.4 enthält eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_topstats. Ein authentifizierter Angreifer kann dadurch beliebige Befehle mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

In Dell Unity vor Version 5.4 besteht im svc_acldb_dump-Utility eine OS-Command-Injection-Schwachstelle. Ein authentifizierter Angreifer kann dadurch beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf Version 5.4 oder neuer einspielen.

Dell Unity enthält vor Version 5.4 eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_tcpdump. Ein authentifizierter Angreifer kann dies potenziell ausnutzen, um beliebige Betriebssystembefehle mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 5.4 oder neuer aktualisieren.

Dell Unity enthält in Versionen vor 5.4 eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_topstats. Ein authentifizierter Angreifer kann dadurch beliebige Dateien im Dateisystem mit Root-Rechten überschreiben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 5.4 oder neuer aktualisieren.

Dell Unity vor Version 5.4 enthält eine Command-Injection-Schwachstelle im Dienstprogramm svc_oscheck. Ein authentifizierter Angreifer kann dadurch beliebige Betriebssystembefehle einschleusen und mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

In Dell Unity vor Version 5.4 besteht im svc_cava-Utility eine OS-Command-Injection-Schwachstelle. Ein authentifizierter Angreifer kann dadurch aus der eingeschränkten Shell entkommen und beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf Version 5.4 oder neuer einspielen.

Dell Unity vor Version 5.4 enthält laut NVD eine OS-Command-Injection-Schwachstelle im svc_udoctor-Utility. Ein authentifizierter böswilliger Nutzer mit lokalem Zugriff kann diese potenziell ausnutzen, um beliebige Betriebssystembefehle mit den Rechten der verwundbaren Anwendung auszuführen. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Versionen vor 5.4.

Dell Unity, Versionen vor 5.4, enthält im svc_cbr-Utility eine OS-Command-Injection-Schwachstelle. Ein authentifizierter, lokal zugreifender Angreifer könnte diese ausnutzen, um beliebige Betriebssystembefehle mit den Rechten der verwundbaren Anwendung auszuführen. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity vor Version 5.4 enthält eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_nas. Ein authentifizierter Angreifer könnte die eingeschränkte Shell verlassen und beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Dell Unity enthält vor Version 5.4 laut Quellbeschreibung eine OS-Command-Injection-Schwachstelle im Dienstprogramm svc_supportassist. Ein authentifizierter Angreifer kann dies potenziell ausnutzen, um beliebige Betriebssystembefehle mit Root-Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Dell Unity vor Version 5.4 enthält laut NVD eine OS-Command-Injection-Schwachstelle im svc_dc-Utility. Ein authentifizierter Angreifer kann diese potenziell ausnutzen, um Befehle mit Root-Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Versionen vor 5.4.

Dell Unity, Versionen vor 5.4, enthält im svc_cifssupport-Utility eine OS-Command-Injection-Schwachstelle. Ein authentifizierter Angreifer könnte die eingeschränkte Shell umgehen und beliebige Betriebssystembefehle mit Root-Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Dell Data Protection Search 19.2.0 und höher legt bei Nutzung von LdapSettings.get_ldap_info ein Passwort im Klartext offen. Ein entfernter, nicht authentifizierter Angreifer könnte dies ausnutzen, was zu Verlust von Vertraulichkeit und Integrität bis hin zur Übernahme des Systems führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Dell bereitgestellten Updates einspielen.

Dell Power Manager enthält in Versionen vor 3.14 eine Schwachstelle durch unzureichende Autorisierungsprüfung (Improper Authorization) im DPM-Dienst. Ein niedrig privilegierter, böswilliger Nutzer kann dies ausnutzen, um seine Rechte auf dem System auszuweiten. CVSS-Basiswert: 7.8 (Hoch).