Критические уязвимости в Dell Storage Manager позволяют злоумышленникам полностью скомпрометировать системы хранения данных

Компания Dell Technologies обнародовала информацию о трех критических уязвимостях в системе управления хранилищами Dell Storage Manager, которые позволяют неаутентифицированным удаленным злоумышленникам получить полный контроль над системами хранения данных. Уязвимости затрагивают версии программного обеспечения до 2020 R1.21 и представляют непосредственную угрозу для организаций, использующих инфраструктуру Dell Storage Center.

Детали узявимости

Наиболее серьезная уязвимость CVE-2025-43995 получила критический балл 9.8 по шкале CVSS и представляет собой уязвимость, эксплуатируемую через сеть без необходимости предварительных условий. Эта проблема неправильной аутентификации существует в Dell Storage Manager версии 20.1.21 и позволяет злоумышленникам обходить механизмы защиты через компонент DataCollectorEar.ear. Конкретно уязвимость эксплуатирует API, предоставляемые ApiProxy.war, которые можно использовать с помощью специально сформированных параметров SessionKey и UserId.

Согласно консультационному сообщению безопасности Dell, эти учетные данные соответствуют специальным сервисным учетным записям, созданным в рамках compellentservicesapi для административных целей. Злоумышленник, успешно эксплуатирующий эту уязвимость, получает неограниченный доступ к функциям управления хранилищем, что потенциально позволяет раскрывать конфиденциальные данные, изменять конфигурации или нарушать критически важные операции хранения данных.

Вторая критическая уязвимость CVE-2025-43994 также заслуживает немедленного внимания с оценкой CVSS 8.6. Эта проблема отсутствия аутентификации затрагивает Dell Storage Manager версии 20.1.21 и позволяет неаутентифицированным удаленным злоумышленникам получать доступ к критическим функциям, которые должны требовать аутентификации. Уязвимость приводит к раскрытию информации, что означает возможность получения злоумышленниками конфиденциальных данных о конфигурациях хранилища, учетных записях пользователей и топологии системы без предоставления действительных учетных данных.

Сочетание этих двух уязвимостей, связанных с аутентификацией, создает особенно опасный сценарий, при котором злоумышленники могут одновременно обнаруживать и эксплуатировать компоненты системы. Дополняя эти обходы аутентификации, уязвимость CVE-2025-46425 представляет собой проблему внешних XML-сущностей с оценкой CVSS 6.5. Эта уязвимость затрагивает Dell Storage Manager версии 20.1.20 и требует привилегий низкого уровня, но может быть использована в многоэтапной атаке. Неправильное ограничение ссылок на внешние XML-сущности позволяет злоумышленникам проводить атаки несанкционированного доступа, потенциально читая конфиденциальные файлы из системы хранения или выполняя горизонтальное перемещение внутри инфраструктуры.

Хотя эта уязвимость требует определенного уровня аутентификации, ее эксплуатация становится тривиальной после того, как злоумышленники обходят уязвимости аутентификации в том же программном обеспечении. Поверхность атаки вызывает особую озабоченность, поскольку эти уязвимости позволяют проводить удаленную эксплуатацию из сети без взаимодействия с пользователем, что делает их чрезвычайно привлекательными для субъектов угроз, нацеленных на корпоративную инфраструктуру хранения данных.

Dell Technologies настоятельно рекомендует всем клиентам обновиться до версии Dell Storage Manager 2020 R1.22 или более поздней для устранения этих уязвимостей. Исправление адресует все три CVE и должно быть приоритезировано немедленно, учитывая критический характер этих уязвимостей. Организации, использующие Dell Storage Manager, должны оценить свои текущие версии по сравнению со списком затронутых продуктов и применить обновления без задержек.

Что касается атрибуции и временной шкалы, Dell признала исследователей безопасности из Tenable за обнаружение CVE-2025-43995 и CVE-2025-43994, в то время как независимый исследователь Ахмед Я. Элмоги обнаружил CVE-2025-46425. Уязвимости были пересмотрены в тот же день, когда они были первоначально раскрыты, при этом Dell обновила рекомендации по исправлению до версии 2020 R1.22 или более поздней. Командам безопасности следует немедленно проверить свои развертывания Dell Storage Manager и запланировать мероприятия по установке исправлений, чтобы устранить риски критического обхода аутентификации до того, как злоумышленники разработают инструменты эксплуатации.

Обнаруженные уязвимости подчеркивают важность своевременного обновления систем управления инфраструктурой хранения данных, особенно учитывая, что успешная эксплуатация может привести к полной компрометации систем хранения, что в современных условиях представляет серьезную угрозу для бизнес-непрерывности и защиты конфиденциальных данных. Организации должны рассматривать эти уязвимости как приоритетные для немедленного устранения, учитывая их критический характер и относительную простоту эксплуатации.

Детали узявимости

Ссылки