Dell’in PowerProtect’inde SQL enjeksiyonu, siteler arası komut dosyası çalıştırma (XSS), ayrıcalık yükseltme, komut ekleme ve yol izlemeyle ilişkili çok sayıda güvenlik açığı keşfedildi. Bu güvenlik açıklarının önem derecesi 4,3 (Orta) ve 8,8 (Yüksek).
Dell PowerProtect’te keşfedilen güvenlik açıkları arasında Siteler Arası Komut Dosyası ile ilişkili CVE-2023-44286 en yüksek önem derecesine (8,8) ve CVE-2023-44284 en düşük önem derecesine (4,3) sahip olmak üzere tüm bu güvenlik açıklarına ilgili CVE’ler atanmıştır.
Dell PowerProtect Ürünlerinde Çoklu Kusurlar
4 işletim sistemi komut enjeksiyonu, 1 Path Traversal, 1 SQL enjeksiyonu, 1 Cross-site scripting (XSS) ve 1 Privilege Escalation dahil olmak üzere yaklaşık 8 güvenlik açığı açıklandı. Bu güvenlik açıkları, 7.13.0.10, LTS 7.7.5.5, LTS 7.10.1.15 ve 6.2.1.1110’dan önceki Dell PowerProtect DD sürümlerinde mevcuttur.
İşletim Sistemi Komut Ekleme
CVE-2023-48668 (8.8), CVE-2023-44277 (7.8), CVE-2023-48667 (7.2) ve CVE-2023-44279 (6.7), bir tehdit tarafından kullanılabilecek işletim sistemi komut ekleme güvenlik açığıyla ilgiliydi aktörün isteğe bağlı işletim sistemi komutlarını yürütmesine veya güvenlik kısıtlamalarını atlamasına olanak tanır.
Bir tehdit aktörü potansiyel olarak bu güvenlik açıklarından bazılarından yararlanabilir ve sistemi ele geçirmek, güvenlik açığı bulunan uygulama ayrıcalıklarıyla işletim sistemi komutlarını yürütmek ve daha pek çok etkinlik gerçekleştirebilir.
Yol Geçişi
CVE-2023-44278, tehdit aktörlerinin sunucu dosya sisteminde depolanan işletim sistemi dosyalarına yetkisiz okuma ve yazma erişimi elde etmek için kullanabileceği Yol Geçişi güvenlik açığıyla ilgilidir. Bu güvenlik açığının önem derecesi 6,7 (Orta).
SQL Enjeksiyonu
CVE-2023-44284, bir tehdit aktörünün uygulamanın arka uç veritabanında SQL komutlarını yürütmek için kullanabileceği ve uygulama verilerine yetkisiz okuma erişimine yol açabileceği SQL enjeksiyon güvenlik açığıyla ilgilidir. Bu güvenlik açığının önem derecesi 4,3 olarak verilmiştir (Düşük).
Siteler Arası Komut Dosyası Çalıştırma (XSS)
CVE-2023-44286, tehdit aktörünün kurban kullanıcının tarayıcısının DOM ortamında Javascript kodunu yürütmek için potansiyel olarak yararlanabileceği siteler arası komut dosyası çalıştırma güvenlik açığıyla ilgilidir.
Başarılı bir şekilde kullanılması, bilgilerin ifşa edilmesine, oturum hırsızlığına veya müşteri tarafında talep sahteciliğine yol açabilir. Bu güvenlik açığının ciddiyeti 8,8 (Yüksek).
Ayrıcalık Yükseltmesi
CVE-2023-44285, bir tehdit aktörünün uygunsuz erişim kontrolü nedeniyle ayrıcalıklarını yükseltmek için düşük ayrıcalıkla kullanabileceği bir Ayrıcalık Artışı güvenlik açığıyla bağlantılıdır. Bu güvenlik açığının ciddiyeti 7,8 (Yüksek).
| Ele Alınan CVE’ler | Ürün | Etkilenen Sürümler | Düzeltilmiş Sürümler |
| CVE-2023-44286, CVE-2023-44285, CVE-2023-44277, CVE-2023-48667, CVE-2023-44279, CVE-2023-44278, CVE-2023-44284 | Dell PowerProtect DD serisi cihazlarDell PowerProtect DD Virtual EditionDell APEX Koruma Depolaması | 7.0 ila 7.12.0.0 | LTS2023’te kalmak için 7.13.0.10 ve üzeri veya 7.10.1.15 ve üzeri 7.10veya LTS2022 7.7’de kalmak için 7.7.5.25 ve üzeri |
| 6.2.1.100 ve altı | 6.2.1.110 ve üzeri | ||
| CVE-2023-44286, CVE-2023-48668, CVE-2023-44285, CVE-2023-44277, CVE-2023-48667, CVE-2023-44279, CVE-2023-44278 | Dell PowerProtect DD yönetim Merkezi | 7.0 ila 7.12.0.0 | LTS2023’te kalmak için 7.13.0.10 ve üzeri veya 7.10.1.15 ve üzeri 7.10veya LTS2022 7.7’de kalmak için 7.7.5.25 ve üzeri |
| 6.2.1.100 ve altı | 6.2.1.110 ve üzeri | ||
| CVE-2023-44286, CVE-2023-44285, CVE-2023-44277, CVE-2023-48667, CVE-2023-44279, CVE-2023-44278, CVE-2023-44284 | PowerProtect DP Serisi Cihaz (IDPA): Tüm Modeller | 2.7.4 ve altı | 2.7.6 ve üzeri |
| CVE-2023-44284 | PowerProtect Veri Yöneticisi Cihazı modeli: DM5500 | 5.14 ve altı | 5.15.0.0 ve üzeri |
| CVE-2023-44286, CVE-2023-44285, CVE-2023-44277, CVE-2023-48667, CVE-2023-44279, CVE-2023-44278, CVE-2023-44284 | Ana Bilgisayar (DLm) ortamı için Disk Kitaplığı’ndan yararlanılan Dell PowerProtect DD serisi cihazlar ve Dell PowerProtect DD Virtual Edition | 7.0 ila 7.12.0.0 | LTS2023’te kalmak için 7.13.0.10 ve üzeri veya 7.10.1.15 ve üzeri 7.10veya LTS2022 7.7’de kalmak için 7.7.5.25 ve üzeri |
| 6.2.1.100 ve altı | 6.2.1.110 ve üzeri |
Ayrıca Dell tarafından yayınlanan güvenlik tavsiyesi bu güvenlik açıkları, bunların CVSS vektörleri ve diğer bilgiler hakkında ayrıntılı bilgi sağlar.