Dell закрыла уязвимости в семи корпоративных продуктах: сетевой операционной системе Networking OS10, средстве управления серверами OpenManage Server Administrator, системах хранения Elastic Cloud Storage и ObjectScale, платформе доставки обновлений DUP Framework, сервисе управления тонкими клиентами Wyse Management Suite и менеджере репозиториев Repository Manager. Часть проблем относится к собственному коду Dell, часть пришла вместе со сторонними библиотеками. Две уязвимости получили оценки 10.0 и 9.8 по шкале CVSS (общая система оценки опасности уязвимостей). Затронутое оборудование обычно стоит в центрах обработки данных и обслуживает десятки тысяч рабочих мест, поэтому счёт здесь идёт не на единичные машины.
Детали уязвимостей
Наибольшую оценку получила ошибка в ObjectScale и Elastic Cloud Storage, платформах для объектного хранения данных. Уязвимость CVE-2026-70416 связана с десериализацией недоверенных данных: система принимает извне структуры данных и восстанавливает из них объекты, не проверяя содержимое. Учётные данные злоумышленнику не нужны, хватает сетевого доступа. Успешная эксплуатация приводит к выполнению произвольного кода на узле хранения. Рядом идут менее громкие проблемы: обход аутентификации с оценкой 8.1, некорректное управление правами, рискованная криптография. В состав платформы входят Apache Log4j, библиотека сжатия liblzma и ядро Linux, поэтому часть исправлений касается именно этих компонентов. Dell закрывает версии с 3.x по 3.8.1.7 у Elastic Cloud Storage и всё, что выпущено до 4.4.0.0 у ObjectScale. Обновление ставят по запросу в службу поддержки.
В Networking OS10, а это коммутаторы PowerSwitch серий S и Z, самая высокая оценка 9.8 досталась фиксации сессии. Механика такая: злоумышленник навязывает пользователю заранее известный идентификатор сессии, дожидается входа в систему и забирает готовую сессию себе. Аутентификация не требуется, нужен лишь доступ к интерфейсу управления. Вторая по значимости проблема, CVE-2026-63696, связана с загрузкой кода без проверки целостности: администратор с высокими правами запускает подменённый файл. Ещё две уязвимости позволяют выполнить команды и вызвать отказ в обслуживании. Сетевые устройства редко доступны напрямую из интернета, поэтому внешний злоумышленник доберётся до них не сразу. Исправленная версия - 10.6.1.3, вместе с ней обновляются ядро Linux, nginx, OpenSSL, libssh2 и библиотека python-urllib3.
Список проблем в OpenManage Server Administrator оказался самым длинным. Около двух десятков уязвимостей в версиях до 11.1.0.3, среди них внедрение команд в операционную систему, отсутствие аутентификации для критичной функции, встроенные в код учётные данные и криптографический ключ, переполнение буфера в куче и на стеке, чтение файлов за пределами разрешённого каталога, подделка серверных запросов. Отдельные ошибки позволяют неаутентифицированному злоумышленнику выполнить код удалённо, другие требуют локального доступа, зато дают повышение привилегий. Максимальная оценка - 8.1. OMSA нередко открыт во внутренней сети, а иногда и наружу, поэтому обновление до 11.1.0.3 стоит первым в очереди. Сборки вышли для Windows, RHEL 8.10, RHEL 9.4, SLES 15 и Ubuntu 22.04.
Wyse Management Suite управляет парком тонких клиентов, и три уязвимости в версиях до 2605.0.3.683 позволяют загрузить файл опасного типа без ограничений. Каждая получила 8.6. Злоумышленник не проходит аутентификацию и получает выполнение кода на сервере управления. Рядом - отсутствие аутентификации для критичной функции с оценкой 7.5 и пропущенный шаг криптографической проверки с оценкой 8.0. Через WMS можно добраться до рабочих мест сотрудников, поэтому исправление лучше не откладывать. Отдельно обновляется репозиторий WMS до 2605.0.3.119.
В DUP Framework, который разворачивает пакеты обновлений Dell, нашли пять уязвимостей. Одна из них, непроверенное возвращаемое значение, даёт локальному пользователю повышение привилегий с оценкой 8.2, другая - внедрение команд в операционную систему с оценкой 7.3. Переполнение буфера на стеке открывает выполнение кода для атакующего в смежной сети, а переход по символическим ссылкам позволяет читать файлы за пределами разрешённой области. Достаточно обновить пакеты до версии 26.07.03.
Dell Repository Manager до версии 3.5.2 создаёт файлы и каталоги с некорректными правами по умолчанию. Пользователь с низкими привилегиями, имеющий доступ к сети, может этим воспользоваться и расширить свои права. Оценка - 8.5.
Больше половины исправлений касается не собственного кода Dell, а сторонних компонентов. Ядро Linux, nginx, OpenSSL, Log4j, libssh2 попадают в поставку вместе с продуктом, и производитель отвечает за них перед заказчиком. Для администратора это означает, что проверять версии встроенных библиотек приходится вместе с версией самого продукта. О случаях эксплуатации перечисленных уязвимостей в реальных атаках Dell не сообщает. Почти все находки прислали независимые исследователи, некоторые работают под псевдонимами.
Обновления лежат на сайте поддержки Dell и в личном кабинете заказчика. Первыми стоит закрыть ObjectScale, Elastic Cloud Storage и Wyse Management Suite: они чаще других доступны из сети и управляют доступами. Коммутаторы OS10 и OMSA обычно развёрнуты в закрытом контуре, но и им нужна новая версия, поскольку внутренний нарушитель с низкими правами способен использовать часть этих уязвимостей. Проверка версии DUP Framework занимает минуту: следует открыть свойства файла пакета и посмотреть вкладку с подробностями.
Ссылки
- https://www.dell.com/support/kbdoc/en-us/000509459/dsa-2026-419-security-update-for-dell-repository-manager-drm-vulnerability
- https://www.dell.com/support/kbdoc/en-us/000502744/dsa-2026-387-security-update-for-dell-wyse-management-suite-wms-for-multiple-vulnerabilities
- https://www.dell.com/support/kbdoc/en-us/000509455/dsa-2026-417-security-update-for-dell-update-package-dup-framework-vulnerabilities
- https://www.dell.com/support/kbdoc/en-in/000505935/dsa-2026-393-security-update-for-dell-objectscale-multiple-vulnerabilities
- https://www.dell.com/support/kbdoc/en-us/000506586/dsa-2026-403-security-update-for-dell-openmanage-server-administrator-omsa-network-access-vulnerabilitiesv
- https://www.dell.com/support/kbdoc/en-us/000507473/dsa-2026-343-security-update-for-dell-networking-os10-vulnerabilities
