Dell исправила в PowerProtect Data Domain уязвимости, часть которых позволяет удалённому атакующему без учётной записи получить полный контроль над системой хранения. Исправления вышли для веток DD OS 8.9, 7.13.1, 8.3.1 и 8.6.1. Затронуты устройства Data Domain, виртуальное издание Data Domain Virtual Edition и консоль управления Data Domain Management Center. Сведений об эксплуатации этих уязвимостей в реальных атаках Dell не приводит.
Выполнение команд без учётной записи и обход проверки прав
Уведомление DSA-2026-416 Dell опубликовала 1 октября 2026 года, а к 19 октября выпустила третью редакцию документа. Именно в ней появились описания ошибок, которых не было в первой версии, в том числе одной из самых тяжёлых. Data Domain хранит резервные копии, поэтому компрометация массива затрагивает не только сам узел, но и возможность восстановить данные после сбоя. Массивы обычно стоят в отдельном сегменте сети, однако консоль управления нередко открыта администраторам удалённо.
Максимальная оценка в уведомлении - 9,8 из 10 по шкале CVSS, общей системе оценки уязвимостей. Столько получили ошибки в самом Data Domain: переполнение буфера в стеке, зашитый в код криптографический ключ и две ошибки проверки подлинности. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Ошибка CVE-2026-86400 позволяет выполнить произвольные команды от имени root, то есть с полными правами в системе. Зашитый ключ ведёт к раскрытию учётных данных, и ими затем можно войти под чужим пользователем.
В консоли управления условия другие: нужны низкие привилегии, зато подготовка проще. Dell относит к критическому уровню отсутствие проверки прав при операциях с управляемыми системами, внедрение SQL-кода (SQL-инъекция) и обход проверки подлинности через подмену. Вместе они позволяют добраться до управляемых массивов Data Domain, выполнить там действия от чужого имени и повысить права. Обход через подмену, по словам вендора, может затронуть и другие системы под управлением этой консоли.
Среди ошибок в собственном коде Dell есть обход каталога, целочисленное переполнение, внедрение команд операционной системы и отсутствие авторизации. Часть из них требует высоких привилегий и даёт обход защитного механизма либо отказ в обслуживании. Наибольший риск создают те, что не требуют учётной записи: обход каталога открывает атакующему доступ к файловой системе, а переполнение стека - к выполнению команд. Обход каталога, то есть выход за пределы разрешённой папки через последовательности в пути, встречается здесь в нескольких вариантах.
Отдельный пласт - сторонние компоненты в составе DD OS. Dell закрыла ошибки в Apache HTTP Server, nginx, OpenSSL, библиотеке разбора XML libexpat, утилите синхронизации файлов rsync, Apache Tomcat, среде Go и ряде других библиотек. Часть из них допускает отказ в обслуживании, часть - выполнение команд или чтение памяти за границей буфера. Например, в rsync устранено переполнение буфера в куче и состояние гонки при работе с символическими ссылками. Полный перечень приведён в самом уведомлении и в записях по отдельным идентификаторам.
Исправленные версии: DD OS 8.9.0.0 для текущей ветки, 7.13.1.90 для LTS2024, 8.3.1.50 для LTS2025 и 8.6.1.30 для LTS2026. Dell отмечает, что подойдут и более поздние сборки внутри той же ветки. LTS - выпуск с длительной поддержкой, он получает исправления дольше обычного. Обходных мер вендор не приводит, поэтому остаются установка обновления и отслеживание новых редакций уведомления. Дистрибутивы выложены в разделе загрузок Data Domain на сайте поддержки Dell.
Несколько ошибок требуют локального доступа и высоких привилегий, поэтому их вклад в общий риск ниже. Основной риск дают сетевые ошибки, для которых не нужны учётные данные: они затрагивают саму инфраструктуру резервного копирования. Dell также предупреждает, что некоторые сканеры после обновления продолжают показывать ложные срабатывания, и ссылается на отдельные пояснения по каждой ветке. Это стоит учитывать, чтобы не принять ложную тревогу за незакрытую уязвимость.
Ссылки
