Dell закрыла в OpenManage Enterprise набор уязвимостей, среди которых внедрение команд операционной системы. Низкопривилегированный пользователь с сетевым доступом может выполнить свою команду на сервере управления. Часть ошибок требует доступа из соседнего сегмента сети. Другая часть срабатывает только с локальной учётной записью. Затронуты системы на версиях ниже 4.8.0.
Патч меняет правила доступа к консоли
Уведомление DSA-2026-467 опубликовано 19 октября 2026 года в первой редакции. Исправление вышло в версии 4.8.0. Dell относит выпуск к критическому уровню опасности. Сведений об эксплуатации в реальных атаках в документе нет. Оценки CISA для отдельных записей также фиксируют отсутствие известной эксплуатации. В таблице затронутых продуктов указаны версии до 4.8.0, причём Dell оговаривает: список может быть неполным и будет обновляться. Сама компания просит учитывать не только базовый балл, но и временные и средовые метрики конкретной установки.
Внедрение команд с обычными правами
Наивысшую оценку среди собственного кода Dell получили CVE-2026-91913 и CVE-2026-111505 - 8,8 из 10. Обе записи описывают внедрение команд ОС. Атака идёт по сети, учётные данные нужны, но подойдёт учётная запись с минимальными правами. Взаимодействие пользователя не требуется. После эксплуатации злоумышленник выполняет команды от имени службы OpenManage. Отдельно Dell отметила CVE-2026-94349 с оценкой 8,0: там атака возможна из соседнего сетевого сегмента. Ещё одна запись того же класса требует высоких прав, зато обходится без участия пользователя.
Без учётных данных обходится часть записей. CVE-2026-91914 описывает подделку при аутентификации с перехватом сессии - нужен доступ из соседнего сегмента. Через CVE-2026-111500 без входа можно обратиться к внутренним ресурсам. Попытки входа не ограничивает CVE-2026-111501, что упрощает фишинговые атаки. Локальные записи добавляют повышение привилегий, подмену путей и жёстко зашитый криптографический ключ. Отдельного упоминания удостоилась SQL-инъекция с оценкой 7,1.
Сторонние компоненты в поставке
Dell включила в уведомление сторонние библиотеки: logrus, angular, golang.org/x/crypto, lodash-es, i18next-http-backend и OpenSSL. Это не значит, что каждая ошибка достижима через веб-интерфейс. Библиотека может вызываться лишь частью функций продукта. Список компонентов приведён без привязки к конкретным функциям. Формально же версии в составе 4.7 и ниже считаются затронутыми. Поэтому проверять нужно все компоненты, включая SSH- и TLS-части.
В lodash накопились prototype pollution и внедрение кода через шаблоны, отдельно выделена CVE-2026-4800 с оценкой 8,1. Angular даёт серию обходов санитизации и утечек через кеш серверного рендеринга. В golang.org/x/crypto собраны отказы в обслуживании и обходы ограничений SSH. OpenSSL отмечена записями об ошибках памяти, которые сама OpenSSL оценивает как низкую опасность. В i18next-http-backend нашлась инъекция в URL, в logrus - остановка записи в журнал. Для lodash аналитики Red Hat советуют фильтровать передаваемые пути до вызова функций.
Порядок обновления
Обходных мер Dell не приводит. Единственный путь - установить 4.8.0 или более позднюю версию. После патча проверки ввода, подписи и ограничения попыток входа работают так, как задумано. Перед обновлением сделайте резервную копию и проверьте совместимость плагинов. Затем смените пароли сервисных учётных записей и ключи, которые могли стать известны посторонним. Статья вышла в первой редакции, её могут дополнить.
Если обновление отложено, сократите доступ к консоли. OpenManage Enterprise служит точкой управления парком серверов, и доступ к ней равнозначен доступу к оборудованию. Оставьте веб-интерфейс только для подсетей администраторов. Закройте порты, которые не нужны для управления. Просмотрите журналы на необычные команды и входы с соседних адресов. Отдельно проверьте учётные записи с правами администратора.
Ссылки
