Dell выпустила обновление для Alienware Command Center 6.x. Утилита управляет подсветкой, охлаждением и профилями разгона на компьютерах Alienware. Исправление закрывает несколько уязвимостей, и часть из них позволяет поднять права в системе. Уязвимы все сборки старше 6.14.54.0.
Что именно меняет установка 6.14.54.0
Самую высокую оценку получила ошибка проверки криптографической подписи. Подпись подтверждает, что файл выпустил ожидаемый отправитель и по дороге его не изменили. Приложение проверяет её неправильно, поэтому подделанные данные выглядят доверенными. Оценка CVSS для этой уязвимости - 8,1 из 10.
Важна и роль самой утилиты. Command Center ставится вместе с драйверами, работает постоянно и обращается к оборудованию. Ошибка в таком компоненте даёт атакующему больше, чем сбой обычной программы в трее. Поэтому обновлять нужно даже те машины, где настройки подсветки никто не трогает.
Последствия у этих ошибок локальные по масштабу, но не по смыслу. Отказ в обслуживании - это сбой утилиты и связанных с ней служб на конкретной машине, а не падение сервера. Повышение прав означает захват учётной записи с широкими правами, если сотрудник работает под администратором. Из-за этого рабочая станция превращается в точку входа в общую сеть.
Подделка подписи из соседней сети
Сработать CVE-2026-91898 может у неаутентифицированного злоумышленника с доступом к соседнему сегменту сети. Учётные данные не нужны, участие пользователя тоже не требуется. Результат - выполнение произвольного кода и повышение прав. Сложность высокая: одного запроса мало, нужного совпадения условий ещё надо добиться. Соседний сегмент - это та же локальная сеть или общая точка доступа Wi-Fi, к которой подключён компьютер.
Повышение прав из обычной учётной записи
У CVE-2026-91893 оценка 7,8 из 10, причина - неправильное управление привилегиями. Атакующему довольно низких привилегий и локального доступа, то есть рядовой учётной записи на машине. Уязвимость влияет на конфиденциальность, целостность и доступность сразу. Рядом стоит CVE-2026-91895 с оценкой 7,1: неверные права по умолчанию позволяют подменить информацию. Обе не требуют участия пользователя.
Условия у этих ошибок разные, и от них зависит приоритет. Для CVE-2026-91895 довольно обычной учётной записи, действия пользователя не нужны вовсе. Для CVE-2026-91894 пользователь должен что-то сделать - открыть файл или подтвердить операцию.
CVE-2026-91897 и CVE-2026-91899 оценили в 6,4. Обе связаны с проверкой криптографической подписи и сертификата. Здесь нужен высокий уровень привилегий и локальный доступ, поэтому воспользоваться ошибкой может уже не каждый. CVE-2026-91894 с оценкой 6,7 нарушает принцип наименьших привилегий.
Собственные ссылки и обработка ввода
Отдельная группа - обработчик пользовательских ссылок. Приложение регистрирует в системе свою схему, и по такой ссылке его запускают из браузера или письма. Обработчик не проверяет, кто и зачем её вызвал. У CVE-2026-91900 оценка 5,8: это открывает путь к выполнению команд и фишингу, а учётные данные атакующему не нужны - довольно удалённого доступа. Затронуты версии по 6.14.20.0 включительно.
CVE-2026-91901 с оценкой 3,5 даёт менее заметный эффект - подделку запроса от имени клиента. У CVE-2026-86365 оценка 4,2: неправильная проверка входных данных ведёт к отказу в обслуживании. У CVE-2026-91896 оценка 3,9: обход аутентификации через подделку оборачивается искажением информации и подменой уведомлений приложения.
Dell обходных мер не приводит. Признаков эксплуатации в реальных атаках нет: CISA в оценках SSVC указывает отсутствие эксплуатации. Поэтому остаётся обновление. Нужна версия 6.14.54.0 или более поздняя, на странице загрузки лежат обычный и полный установщики. Бюллетень DSA-2026-429 в ревизии 1.0 датирован 2026-11-02.
В первую очередь патч нужен машинам в общих сетях: в офисах, учебных классах, компьютерных клубах. Там соседний сегмент - не абстракция, а соседний стол. После установки перечисленные ошибки закрыты, отдельного конфигурационного файла или ручной настройки бюллетень не требует.
Ссылки
