Dell EMC (PowerStore/Isilon/Unity) Seite 7

In der Dell-Display-Manager-Anwendung Version 2.1.1.17 kann ein Benutzer mit niedrigen Rechten während der Installation oder Deinstallation bösartigen Code ausführen. CVSS-Basiswert: 7.3 (Hoch).

Dell BSAFE Crypto-C Micro Edition vor Version 4.1.5 sowie Dell BSAFE Micro Edition Suite vor Version 4.5.2 enthalten laut Quelle eine Schwachstelle durch einen fehlenden erforderlichen kryptografischen Schritt (Missing Required Cryptographic Step Vulnerability). CVSS-Basiswert: 7.4 (Hoch).

In Dell Networker 19.9 und allen früheren Versionen wird bei NMDA-MySQL-Datenbank-Backups während der Backup-Dauer ein Klartext-Passwort in einer temporären Konfigurationsdatei gespeichert. Ein Angreifer mit niedrigen Rechten auf dem Networker-Client-System könnte dies ausnutzen, um die konfigurierten MySQL-Datenbank-Zugangsdaten offenzulegen und mit den Rechten des kompromittierten Kontos auf die Datenbank zuzugreifen. CVSS-Basiswert: 7.8 (Hoch).

Eine Schwachstelle in der webbasierten Management-Oberfläche von Cisco Unity Connection erlaubt es einem nicht authentifizierten Angreifer aus dem Netzwerk, beliebige Dateien auf ein betroffenes System hochzuladen. Ursache ist eine fehlende Authentifizierung in einer bestimmten API sowie eine unzureichende Validierung nutzergesteuerter Daten. Ein erfolgreicher Angriff erlaubt das Ablegen bösartiger Dateien, die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem sowie eine Rechteausweitung bis auf Root-Ebene. CVSS-Basiswert: 7.3 (Hoch).

Das Dell iDRAC Service Module enthält in Version 5.2.0.0 und früher eine Schwachstelle durch fehlerhaft gesetzte Standardrechte. Ein lokaler Angreifer ohne besondere Privilegien kann dadurch seine Rechte ausweiten und beliebigen Code auf dem betroffenen System ausführen. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: Dell empfiehlt Kunden, so bald wie möglich zu aktualisieren.

In Dell SupportAssist for Home PCs bis Version 3.14.1 besteht eine Schwachstelle im Installer, die es einem lokalen, niedrig privilegierten authentifizierten Angreifer erlaubt, beliebige ausführbare Dateien mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.3 (Hoch).

Dell Client BIOS enthält eine Pre-Boot-DMA-Schwachstelle (Direct Memory Access). Ein authentifizierter Angreifer mit physischem Zugriff auf das System kann diese Lücke potenziell ausnutzen, um beliebigen Code auf dem Gerät auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Dell PowerProtect DD enthält in Versionen vor 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15 und 6.2.1.110 eine DOM-basierte Cross-Site-Scripting-Schwachstelle. Ein entfernter, nicht authentifizierter Angreifer könnte darüber schädlichen HTML- oder JavaScript-Code in die DOM-Umgebung des Browsers eines Opfers einschleusen, was zu Informationsabfluss, Sitzungsdiebstahl oder clientseitiger Request-Forgery führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Dell PowerProtect DD in Versionen vor 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15 und 6.2.1.110 auf DDMC enthält eine OS-Command-Injection in einer Admin-Operation. Ein lokaler Angreifer mit hohen Rechten könnte beliebige Betriebssystembefehle mit den Rechten der anfälligen Anwendung ausführen, was bis zur Übernahme eines von DDMC verwalteten Systems führen kann. CVSS-Basiswert: 8.2 (Hoch).

Dell PowerProtect DD (Versionen vor 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15 sowie 6.2.1.110) enthält eine OS-Command-Injection-Schwachstelle in der CLI. Ein lokaler, niedrig privilegierter Angreifer kann dies potenziell ausnutzen, um beliebige Betriebssystembefehle mit den Rechten der verwundbaren Anwendung auszuführen, was zur vollständigen Übernahme des Systems führen kann. CVSS-Basiswert: 7.8 (Hoch).

Dell PowerProtect DD enthält vor den Versionen 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15 und 6.2.1.110 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler Angreifer mit niedrigen Rechten kann diese Lücke potenziell ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf die vom Hersteller genannten Fix-Versionen.

Dell vApp Manager enthält in Versionen vor 9.2.4.x laut NVD eine Schwachstelle, über die ein entfernter Angreifer beliebige Dateien vom Zielsystem lesen kann (Arbitrary File Read). CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Dell vApp Manager enthält in Versionen vor 9.2.4.x eine Schwachstelle zur Offenlegung von Informationen. Ein entfernter Angreifer könnte diese ausnutzen, um an sensible Informationen zu gelangen, die weitere Angriffe erleichtern. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Der Dell vApp Manager enthält vor Version 9.2.4.x eine Command-Injection-Schwachstelle. Ein entfernter, hoch privilegierter böswilliger Benutzer kann sie potenziell ausnutzen, um beliebige Betriebssystembefehle auf dem betroffenen System auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Dell vApp Manager enthält vor Version 9.2.4.x eine Command-Injection-Schwachstelle. Ein entfernter, böswilliger Benutzer mit hohen Rechten kann diese potenziell ausnutzen, um beliebige Betriebssystembefehle auf dem betroffenen System auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Dell vApp Manager vor Version 9.2.4.x enthält eine Command-Injection- Schwachstelle. Ein entfernter böswilliger Nutzer mit hohen Rechten kann dadurch beliebige Betriebssystembefehle auf dem betroffenen System zur Ausführung bringen. CVSS-Basiswert: 7.2 (Hoch).

Dell PowerProtect DD vor den Versionen 7.13.0.10, LTS 7.7.5.25, LTS 7.10.1.15 sowie 6.2.1.110 enthält eine OS-Command-Injection-Schwachstelle in der Administrator-CLI. Ein entfernter, hoch privilegierter Angreifer kann diese Lücke ausnutzen, um beliebige Betriebssystembefehle auszuführen und Sicherheitsbeschränkungen zu umgehen, was potenziell zu einer vollständigen Übernahme des Systems führen kann. CVSS-Basiswert: 7.2 (Hoch).

Dell vApp Manager enthält vor Version 9.2.4.x eine Command-Injection-Schwachstelle. Ein entfernter Angreifer mit hohen Rechten kann diese Lücke potenziell ausnutzen, um beliebige Betriebssystembefehle auf dem betroffenen System auszuführen. CVSS-Basiswert: 7.2 (Hoch).

Das BIOS von Dell PowerEdge enthält eine Schwachstelle in der Rechteverwaltung. Ein nicht authentifizierter lokaler Angreifer kann sie potenziell ausnutzen und dadurch seine Berechtigungen ausweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Verfügbare BIOS-Updates von Dell einspielen.

Dell PowerScale OneFS in den Versionen 8.2.2.x bis 9.6.0.x enthält laut NVD eine Schwachstelle durch unsachgemässe Kontrolle einer Ressource über deren Lebenszyklus. Ein nicht authentifizierter Angreifer im Netzwerk kann dies potenziell ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 7.5 (Hoch).

Dell OS10 Networking Switches ab Version 10.5.2.x enthalten bei einer Konfiguration mit VLT und VRRP eine Schwachstelle durch unkontrollierten Ressourcenverbrauch. Ein entfernter, nicht authentifizierter Angreifer kann dadurch das Netzwerk fluten und einen Denial of Service für reguläre Netzwerknutzer verursachen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: laut Dell frühestmöglich auf eine bereinigte Version aktualisieren.

Dell-PowerEdge-16G-Intel-E5-BIOS und Dell-Precision-BIOS, Version 1.4.4, enthalten aktiven Debug-Code. Ein nicht authentifizierter Angreifer mit physischem Zugriff kann dies ausnutzen, was zu Informationsoffenlegung, Datenmanipulation, Codeausführung oder Denial of Service führen kann. CVSS-Basiswert: 7.1 (Hoch).

Dell DM5500 5.14.0.0 und früher enthalten laut NVD eine Schwachstelle durch fehlerhafte Authentifizierung. Ein entfernter, nicht authentifizierter Angreifer könnte sie ausnutzen, um Zugriff auf Ressourcen oder Funktionen zu erlangen, was möglicherweise zur Ausführung beliebigen Codes führt. CVSS-Basiswert: 8.1 (Hoch).

Die Dell-DM5500-Appliance enthält eine Schwachstelle zur Rechteausweitung. Ein entfernter Angreifer mit niedrigen Rechten kann die eingeschränkte Shell verlassen und Root-Zugriff auf die Appliance erlangen. CVSS-Basiswert: 8.8 (Hoch).

Dell DM5500 5.14.0.0 enthaelt einen stack-basierten Pufferueberlauf in der Appliance. Ein nicht authentifizierter entfernter Angreifer kann die Luecke durch das Senden speziell praeparierter Eingabedaten ausnutzen, um den betroffenen Prozess zum Absturz zu bringen oder beliebigen Code auf dem System auszufuehren. CVSS-Basiswert: 8.1 (Hoch).

Dell DM5500 in Version 5.14.0.0 enthält eine OS-Command-Injection-Schwachstelle in der Appliance. Ein entfernter Angreifer mit hohen Rechten kann dadurch beliebige Betriebssystembefehle mit den Rechten der verwundbaren Anwendung ausführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme des Systems führen. CVSS-Basiswert: 7.2 (Hoch).

Dell Rugged Control Center enthält in Versionen vor 4.7 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler, böswilliger Standardnutzer kann laut Quelle den Inhalt eines ungesicherten Ordners während Installation oder Upgrade verändern und dadurch seine Rechte auf dem System ausweiten. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf Version 4.7 oder neuer.

Dell Rugged Control Center weist vor Version 4.7 eine Improper-Access-Control-Schwachstelle auf. Ein lokaler, böswilliger Standardbenutzer kann bei einer Reparatur der Produktinstallation Inhalte in einem ungesicherten Ordner verändern und dadurch eine Rechteausweitung auf dem System erreichen. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet sind die Hersteller Dell (BIOS/DSA) und Dell EMC (PowerStore/Isilon/Unity).

Das Dell OS Recovery Tool enthält in den Versionen 2.2.4013, 2.3.7012.0 und 2.3.7515.0 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokal authentifizierter Benutzer ohne Administratorrechte kann diese potenziell ausnutzen, um seine Rechte auf dem System zu erweitern. CVSS-Basiswert: 7.3 (Hoch).

Dell Command | Configure weist vor Version 4.11.0 eine Schwachstelle durch unzureichende Zugriffskontrolle auf. Ein lokaler, böswilliger Benutzer kann während eines Anwendungs-Upgrades Dateien im Installationsordner verändern und dadurch seine Rechte ausweiten. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet sind die Hersteller Dell (BIOS/DSA) und Dell EMC (PowerStore/Isilon/Unity).

Dell Command | Configure enthält in Versionen vor 4.11.0 eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler, böswilliger Standardnutzer kann diese laut Quelle während einer Reparatur oder Änderung der Installation ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf Version 4.11.0 oder neuer.

Dell Command | Monitor weist vor Version 10.10.0 eine Schwachstelle durch unzureichende Zugriffskontrolle auf. Ein lokaler, böswilliger Standardbenutzer kann diese während einer Reparatur oder Änderung der Installation ausnutzen und dadurch seine Rechte ausweiten. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet sind die Hersteller Dell (BIOS/DSA), Dell EMC (PowerStore/Isilon/Unity) und Paessler AG.

Dell Unity vor Version 5.3 enthält eine Man-in-the-Middle-Schwachstelle in der vmadapter-Komponente. Wenn ein Kunde ein von einer öffentlichen Drittanbieter-Zertifizierungsstelle signiertes Zertifikat verwendet, kann die vCenter-CA von einem Angreifer gefälscht werden, der ein von einer CA signiertes Zertifikat erlangen kann. CVSS-Basiswert: 8.6 (Hoch).

Dell ELab-Navigator in Version 3.1.9 enthält eine Schwachstelle durch fest codierte Zugangsdaten. Ein lokaler Angreifer könnte diese Schwachstelle ausnutzen und so unberechtigten Zugriff auf sensible Daten erlangen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung vertraulicher Benutzerinformationen führen. CVSS-Basiswert: 8.4 (Hoch).

Das BIOS des Dell Precision Tower weist laut NVD eine Schwachstelle durch unzureichende Eingabevalidierung auf. Ein lokal authentifizierter Angreifer mit Administratorrechten kann diese potenziell ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt aus den verfügbaren Quellen nicht vor.

Dell OS Recovery Tool in den Versionen 2.2.4013, 2.3.7012.0 und 2.3.7515.0 enthält eine Schwachstelle durch fehlerhafte Zugriffskontrolle. Ein lokal authentifizierter Benutzer ohne Administratorrechte könnte diese ausnutzen, um seine Rechte auf dem System auszuweiten. CVSS-Basiswert: 7.3 (Hoch).

Dell OpenManage Server Administrator enthält in Version 11.0.0.0 und früher eine Schwachstelle durch unzureichende Zugriffskontrolle. Ein lokaler, niedrig privilegierter böswilliger Nutzer kann diese laut Quelle ausnutzen, um beliebigen Code auszuführen und seine Rechte auszuweiten; eine Ausnutzung kann zur vollständigen Kompromittierung des Systems führen. CVSS-Basiswert: 7.3 (Hoch).

Dell SmartFabric Storage Software Version 1.4 und früher enthält eine OS-Command-Injection-Schwachstelle in der CLI-Nutzung des Befehls 'more'. Ein lokaler oder entfernter authentifizierter Angreifer kann dies ausnutzen, um Root-Zugriff zu erlangen. CVSS-Basiswert: 7.8 (Hoch).

Dell SmartFabric Storage Software v1.4 und früher enthält eine OS-Command- Injection-Schwachstelle in der eingeschränkten Shell über SSH. Ein authentifizierter Angreifer aus der Ferne kann diese Lücke potenziell ausnutzen, um beliebige Befehle auszuführen. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung der Dell SmartFabric Storage Software auf eine vom Hersteller bereitgestellte Fix-Version.

Dell SmartFabric Storage Software v1.4 und früher enthält eine OS-Command-Injection-Schwachstelle in der CLI. Ein authentifizierter lokaler Angreifer kann die Lücke potenziell ausnutzen, um Parameter in Aufrufe von curl oder docker einzuschleusen. CVSS-Basiswert: 7.8 (Hoch).

Eine Schwachstelle in einem API-Endpunkt mehrerer Cisco Unified Communications Products kann es einem nicht authentifizierten, entfernten Angreifer erlauben, eine hohe CPU-Auslastung zu verursachen, was den Zugriff auf die webbasierte Verwaltungsoberfläche beeinträchtigt und die Anrufverarbeitung verzögert. Ursache sind eine unzureichende API-Authentifizierung und eine unvollständige Prüfung der API-Anfrage. Nach Ende des Angriffs erholt sich das Gerät ohne manuellen Eingriff. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

Dell Common Event Enabler 8.9.8.2 für Windows und frühere Versionen enthalten laut NVD eine unzureichende Zugriffskontrolle. Ein lokaler Angreifer mit geringen Rechten kann diese Schwachstelle potenziell ausnutzen, um erweiterte Rechte zu erlangen. Der CVSS-Vektor beschreibt einen Angriff mit lokalem Zugriff und geringen Rechten ohne Benutzerinteraktion, mit vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.8 (Hoch).

Dell NetWorker in Version 19.7 weist eine Schwachstelle durch unzureichende Autorisierung im NetWorker-Client auf. Ein nicht authentifizierter Angreifer im selben Netzwerk kann dies durch Manipulation eines Befehls ausnutzen und so vollständigen Zugriff auf die Serverdatei erlangen. Daraus können Informationsabfluss, Denial of Service und die Ausführung beliebigen Codes folgen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Dell empfiehlt Kunden, so früh wie möglich zu aktualisieren.

Dell AppSync enthält in den Versionen 4.4.0.0 bis 4.6.0.0 (inklusive Service-Pack-Releases) eine Schwachstelle durch unzureichende Zugriffskontrolle in der Komponente Embedded Service Enabler. Ein lokaler, böswilliger Benutzer kann diese während der Installation potenziell ausnutzen und dadurch seine Rechte erweitern. CVSS-Basiswert: 7.3 (Hoch).

In Dells SD ROM Utility vor Version 1.0.2.0 besteht eine Schwachstelle durch unzureichende Zugriffskontrolle (Improper Access Control). Ein Angreifer mit geringen Rechten kann diese potenziell ausnutzen, um mit eingeschränktem Zugriff beliebigen Code auszuführen. CVSS-Basiswert: 7.3 (Hoch).

Dell Alienware Command Center vor Version 5.5.51.0 enthält laut NVD eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten. Ein lokaler Angreifer kann speziell präparierte Anfragen an den .NET-Remoting-Server senden, um beliebigen Code auf dem System auszuführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf Version 5.5.51.0 oder neuer.

In Dell PowerScale OneFS (Versionen 8.2.2.x bis 9.5.0.x) besteht eine Schwachstelle durch unzureichende Rechteverwaltung. Ein entfernter Angreifer mit niedrigen Rechten kann diese potenziell ausnutzen, um seine Rechte zu erweitern. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Das Supermicro-Motherboard X12DPG-QR mit Firmware 1.4b enthält laut NVD eine Buffer-Overflow-Schwachstelle. Ein lokaler Angreifer kann durch Manipulation der Variable SmcSecurityEraseSetupVar den Kontrollfluss des Systems übernehmen. CVSS-Basiswert: 7.8 (Hoch).

Unity Parsec weist eine TOCTOU-Race-Condition auf, die es lokalen Angreifern erlaubt, ihre Rechte auf SYSTEM auszuweiten, sofern Parsec im Modus „Per User“ installiert wurde. Die Anwendung lädt DLLs bewusst aus einem benutzereigenen Verzeichnis, wobei die Integritätsprüfung dieser DLLs eigentlich stets durchgeführt werden sollte. Betroffen sind Parsec-Loader-Versionen bis einschliesslich 8; Version 9 behebt das Problem. CVSS-Basiswert: 7 (Hoch). Empfohlene Massnahme: auf Parsec Loader 9 aktualisieren.

Dell Storage Integration Tools for VMware (DSITV) vor Version 6.1.1, Dell Storage vSphere Client Plugin (DSVCP) vor Version 6.1.1 sowie Replay Manager for VMware (RMSV) vor Version 3.1.2 enthalten laut NVD eine Schwachstelle zur Offenlegung von Informationen. Ein lokaler, niedrig privilegierter Angreifer kann dadurch einen Verschlüsselungsschlüssel abrufen, der weitere Angriffe erleichtern könnte. CVSS-Basiswert: 7.8 (Hoch).