גרסאות 6.2 - 6.5 של יועץ הגנת הנתונים EMC של Dell נמצאו פגיעות בהזרקת XML של ישות חיצונית (XEE) והתרסקות DoS

DELL EMC בריטניה

פגיעות של הזרקת XML של ישות חיצונית (XEE) התגלתה בגרסה 6.4 עד 6.5 של יועץ הגנת הנתונים של EMC של Dell. פגיעות זו מצויה בממשק ה- API של REST והיא עשויה לאפשר לתוקף זדוני מרוחק מאומת לפגוע במערכות המושפעות על ידי קריאת קבצי שרת או גרימת מניעת שירות (DoS קריסה באמצעות הגדרות סוג מסמך בעלות זדון (DTD) באמצעות בקשת XML.

היועץ להגנת נתונים של EMC של Dell נועד לספק פלטפורמה אחת לגיבוי נתונים, התאוששות וניהול. הוא נועד לספק ניתוחים ותובנות מאוחדות לסביבות ה- IT בתאגידים גדולים. זה עושה אוטומטית את התהליך הידני פעם ומספק יעילות משופרת ויתרונות בעלות נמוכה יותר. האפליקציה תומכת במגוון רחב של טכנולוגיות ותוכנות כחלק ממאגר הגיבויים שלה והיא משמשת ככלי האידיאלי להבטחת קיום הביקורות לצורך הגנה.

לפגיעות זו הוקצה התווית CVE-2018-11048 , הוערך כבעל חומרת סיכון גבוהה, ובהתאם הוקצה ציון בסיס CVSS 3.0 של 8.1. הפגיעות משפיעה על הגרסאות 6.2, 6.3, 6.4 של DELL EMC Adviseur להגנה על נתונים (לפני תיקון B180) ו- 6.5 (לפני תיקון B58). נמצא כי הפגיעות משפיעה גם על גרסאות 2.0 ו- 2.1 של מכשיר ההגנה על נתונים משולב.

דל בקיאה בפגיעות זו בכך שהיא פרסמה עדכונים למוצר שלה כדי למתן את השלכות הניצול. תיקונים B180 ואילך מכילים את העדכונים הדרושים לגרסה 6.4 של Dell EMC Data Protection Advisor ותיקוני B58 ואילך מכילים את העדכונים הדרושים בהתאם לגרסה 6.5 של התוכנית.

לקוחות תמיכה מקוונים רשומים של Dell EMC יכולים בקלות הורד התיקון הנדרש מדף התמיכה של EMC. מאחר ופגיעות זו נמצאת בסיכון גבוה לניצול עם פגיעות הזרקת XEE שלה וקריסת DoS פוטנציאלית, משתמשים (במיוחד מנהלי ארגונים גדולים המשתמשים בפלטפורמה) מתבקשים להחיל את התיקון באופן מיידי כדי למנוע פשרות במערכת.