Dell製シンクライアントOSに深刻なRCE脆弱性 - 更新や運用環境の確認を

Dell Technologiesのシンクライアント端末向けOS「Dell Wyse ThinOS」にリモートよりコードを実行されるおそれがある深刻な脆弱性が含まれていることがわかった。

「同8.6」および以前のバージョンに「CVE-2020-29491」「CVE-2020-29492」が判明したもの。同OSでは、ローカルの「FTP」サーバを用いてメンテナンスすることがデフォルトとなっており、同社からも推奨されていたため多くの環境で利用されているが、こうしたリモートの保守環境に脆弱性が明らかとなった。

脆弱性を悪用されると、リモートでコードを実行されたり、デバイス上のファイルにアクセスされるおそれがある。いずれの脆弱性も共通脆弱性評価システム「CVSSv3.1」におけるベーススコアが最高値である「10」、「クリティカル（Critical）」とレーティングされている。

同社へ脆弱性を6月に報告し、アップデートのリリースとあわせてアドバイザリを公開したCyberMDXによれば、同製品では「FTP」サーバより「ファームウェア」や「パッケージ」「INIファイル」を取得するよう推奨しているが、「FTP」サーバは資格情報を持たない「anonymous」として運用され、設定に用いられる「INIファイル」に署名が行われていないことが判明した。

（Security NEXT - 2020/12/22 ） ツイート

PR

関連記事

ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応
「Cisco Unified CM」に深刻なRCE脆弱性 - ESリリースのみ影響
「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加