Dell Unity Storage – kritische Sicherheitslücken jetzt patchen

Am 12.02.204 veröffentlichte Dell einen Sicherheitshinweis, in dem es dazu aufrief Produkte der Dell Unity Fileserver Reihe, zu patchen. Der Patch schliesst eine ganze Reihe kritischer Sicherheitslücken und sollte daher dringend installiert werden:

CVE-2024-22223

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_cbr. Ein authentifizierter bösartiger Benutzer mit lokalem Zugriff könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige OS-Befehle auf dem zugrunde liegenden Betriebssystem der Anwendung auszuführen, mit den Berechtigungen der verwundbaren Anwendung.

CVE-2024-22222

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_udoctor. Ein authentifizierter bösartiger Benutzer mit lokalem Zugriff könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige OS-Befehle auf dem zugrunde liegenden Betriebssystem der Anwendung auszuführen, mit den Berechtigungen der verwundbaren Anwendung.

CVE-2024-0166

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_tcpdump. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige OS-Befehle mit erhöhten Berechtigungen auszuführen.

CVE-2024-0168

Dell Unity, Versionen vor 5.4, enthält eine Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_oscheck. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige Betriebssystembefehle einzuschleusen. Diese Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, Befehle mit Root-Berechtigungen auszuführen.

CVE-2024-0167

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_topstats. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige Dateien im Dateisystem mit Root-Berechtigungen zu überschreiben.

CVE-2024-0164

Dell Unity, Versionen vor 5.4, enthalten eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_topstats. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige Befehle mit erhöhten Berechtigungen auszuführen.

CVE-2024-0165

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_acldb_dump. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige Betriebssystembefehle mit Root-Berechtigungen auszuführen.

CVE-2024-22225

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_supportassist. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um beliebige Betriebssystembefehle mit Root-Berechtigungen auszuführen.

CVE-2024-22227

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_dc. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um Befehle mit Root-Berechtigungen auszuführen.

CVE-2024-0170

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_cava. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um die eingeschränkte Shell zu umgehen und beliebige Betriebssystembefehle mit Root-Berechtigungen auszuführen.

CVE-2024-22224

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_nas. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um die eingeschränkte Shell zu umgehen und beliebige Betriebssystembefehle mit Root-Berechtigungen auszuführen.

CVE-2024-22228

Dell Unity, Versionen vor 5.4, enthält eine OS-Befehlseinschleusungsanfälligkeit in ihrem Dienstprogramm svc_cifssupport. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um die eingeschränkte Shell zu umgehen und beliebige Betriebssystembefehle mit Root-Berechtigungen auszuführen.

CVE-2024-22230

Dell Unity, Versionen vor 5.4, enthält eine Cross-Site-Scripting-Schwachstelle. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um Sitzungsinformationen zu stehlen, sich als betroffener Benutzer auszugeben oder Aktionen durchzuführen, die dieser Benutzer ausführen könnte, oder im Allgemeinen den Browser des Opfers zu kontrollieren.

CVE-2024-0169

Dell Unity, Versionen vor 5.4, enthält eine Cross-Site-Scripting (XSS)-Schwachstelle. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um Benutzer dazu zu bringen, bösartige Software herunterzuladen und auszuführen, die von den Funktionen dieses Produkts erstellt wurde, um ihre Systeme zu kompromittieren.

CVE-2024-22221

Dell Unity, Versionen vor 5.4, enthält eine SQL Injection-Schwachstelle. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um sensible Informationen preiszugeben.

CVE-2024-22226

Dell Unity, Versionen vor 5.4, enthalten eine Pfad-Traversal-Schwachstelle in ihrem Dienstprogramm svc_supportassist. Ein authentifizierter Angreifer könnte potenziell diese Sicherheitslücke ausnutzen, um unbefugten Schreibzugriff auf die auf dem Server-Dateisystem gespeicherten Dateien mit erhöhten Berechtigungen zu erlangen.