Dell Powerscale OneFS depolama işletim sistemini etkileyen iki önemli güvenlik açığı, en şiddetli kusur potansiyel olarak kimlik doğrulanmamış saldırganların kurumsal dosya sistemi verilerine tam olarak yetkisiz erişim elde etmesine izin verir.
CVE-2024-53298 olarak izlenen kritik güvenlik açığı, PowerScale OneFS sürümlerini 9.5.0.0 ila 9.10.0.1’i etkiler ve 9.8 maksimum CVSS skoru taşır, bu da organizasyonel veri güvenliği için son derece yüksek bir risk gösterir.
Bu açıklamaya, yerel ayrıcalık artış saldırılarını sağlayabilecek ve kurumsal depolama ortamları için çift tehdit senaryosu oluşturabilecek ikincil bir SQL enjeksiyon güvenlik açığı (CVE-2025-32753) eşlik ediyor.
.png
)
NFS İhracat Yetkilendirme Bypass (CVE-2024-53298)
En şiddetli güvenlik açığı olan CVE-2024-53298, Dell PowerScale OneFS içindeki Ağ Dosyası Sistemi (NFS) dışa aktarma yetkilendirme mekanizmasında temel bir dökümü temsil eder.
Bu eksik yetkilendirme güvenlik açığı, güvenlik denetimlerini tamamen atlamak ve yetkisiz dosya sistemi erişimi elde etmek için uzaktan ağ erişimine sahip kimlik doğrulanmamış saldırganları sağlar.
Güvenlik Açığı’nın CVSS vektör dizesi (CVSS: 3.1/AV: N/AC: L/PR: N/UI: N/S: U/C: H/I: H/A: H), saldırının düşük karmaşık olan bir ağ üzerinde uzaktan yürütülebileceğini gösterir, hiçbir ayrıcalık veya kullanıcı etkileşimi gerektirmez ve veri, entegre ve kullanılabilirlik gerektirebilir.
Bu kırılganlığın teknik sonuçları, özellikle PowerScale sistemlerinin tipik olarak kritik verileri depoladığı ve organizasyonel dosya depolama için merkezi depolar olarak hizmet ettiği kurumsal ortamlar içindir.
Bu kusurdan yararlanan bir saldırgan, potansiyel olarak hassas kurumsal belgeleri okuyabilir, kritik sistem yapılandırmalarını değiştirebilir ve tüm dosya sistemi yapılarını herhangi bir kimlik doğrulama gereksinimi olmadan silebilir.
Kurumsal ortamlarda ağa bağlı depolama için yaygın olarak kullanılan NFS protokolü, bu yetkilendirme kontrolü başarısız olduğunda doğrudan bir saldırı vektörü haline gelir ve depolama sistemini etkili bir şekilde ağ bağlantılı herhangi bir tehdit aktörü için erişilebilir açık bir depoya dönüştürür.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | Dell Powerscale Onefs 9.5.0.0 – 9.10.0.1 |
| Darbe | Yetkisiz dosya sistemi erişimi (okuma, değiştir, keyfi dosyaları sil) |
| Önkoşuldan istismar | Uzaktan erişime sahip kimliği doğrulanmamış saldırgan |
| CVSS 3.1 puanı | 9.8 (kritik) |
SQL enjeksiyon kusuru (CVE-2025-32753)
İkincil güvenlik açığı olan CVE-2025-32753, PowerScale OneFS sistemi içinde bir SQL enjeksiyon saldırısı vektörü getirir, ancak yerel erişim ve düşük seviyeli ayrıcalıklar istismar gerektirir.
Özel elementlerin bu uygunsuz nötralizasyonu, 5.3 CVSS skoru (CVSS: 3.1/AV: L/AC: L/PR: L/UI: N/S: U/C: L/I: L/A: L) taşır, bu da düşük ayrıcalıklar gerektiren yerel saldırı vektörleri ile orta riski gösterir.
Güvenlik açığı, saldırganların veritabanı sorgularına kötü niyetli SQL komutları enjekte etmesine izin verir, bu da potansiyel olarak hizmet koşullarının reddedilmesine, yetkisiz bilgi açıklamasına ve veri kurcalama özelliklerine yol açar.
NFS yetkilendirme baypasından daha az şiddetli olsa da, bu SQL enjeksiyon güvenlik açığı, CVE-2024-53298 tarafından sağlanan uzaktan erişim özellikleri ile birleştirildiğinde özellikle tehlikeli hale gelir.
NFS güvenlik açığı yoluyla ilk erişimi kazanan bir saldırgan, SQL enjeksiyon tekniklerini kullanarak ayrıcalıklarını potansiyel olarak artırabilir ve kapsamlı sistem uzlaşması için bir yol oluşturabilir.
Güvenlik açığı, aynı sürüm aralığını (9.5.0.0 ila 9.10.0.1) etkiler, bu da etkilenen güç ölçekli dağıtımları yürüten kuruluşların derhal dikkat gerektiren bir bileşik güvenlik riskiyle karşı karşıya olduğunu düşündürmektedir.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | Dell Powerscale Onefs 9.5.0.0 – 9.10.0.1 |
| Darbe | Hizmet reddi, bilgi açıklaması, veri kurcalama |
| Önkoşuldan istismar | Yerel erişime sahip düşük ayrıcalıklı saldırgan |
| CVSS 3.1 puanı | 5.3 (Orta) |
İyileştirme
Dell Technologies, NFS yetkilendirme kırılganlığını kritik olarak sınıflandırdı ve müşterilerin PowerScale OneFS sistemlerini en erken fırsatta yükseltmesini şiddetle tavsiye ediyor.
Sistem yöneticileri ağ maruziyetlerini derhal değerlendirmeli, ağ düzeyinde erişim kontrollerini geçici azaltma önlemleri olarak uygulamalı ve Acil Yükseltme Prosedürlerini OneF’lerin yamalı sürümlerine planlamalıdır.
Kuruluşlar ayrıca, yetkisiz erişim veya veri uzlaşmasının herhangi bir belirtisini belirlemek için güç ölçeği dağıtımlarının kapsamlı güvenlik denetimlerini yapmalıdır.
Uzaktan erişilebilirlik ve yerel ayrıcalık artış yeteneklerinin birleşimi, sofistike tehdit aktörlerinin kurumsal depolama ortamlarına kalıcı erişim sağlamak için kullanabileceği önemli bir saldırı yüzeyi oluşturur ve bu da veri güvenliği ve düzenleyici uyumluluğu korumak için hızlı iyileştirmeyi gerekli kılar.
Canlı Kimlik Hırsızlık Saldırısı UN MASK & Anında Savunma – Ücretsiz Web Semineri