Dellのデータ保護アプライアンスに多数脆弱性 - 深刻な脆弱性も

バックアップ機能などを提供するDell Technologies製アプライアンス「Dell PowerProtect Data Manager DM5500」に脆弱性が明らかとなった。サードパーティを含めて40件以上にのぼり、悪用が確認されている脆弱性も含まれる。

同社は現地時間12月4日にセキュリティアドバイザリを公開し、同製品に関連する脆弱性7件のほか、実装されているサードパーティ製ソフトウェアの脆弱性などをアップデートで修正したもの。同社は重要度を「クリティカル（Critical）」とレーティングしている。

具体的には、「PPOEコンポーネント」においてroot権限を取得されるおそれがある権限昇格の脆弱性「CVE-2023-44304」や、スタックベースのバッファオーバーフローの脆弱性「CVE-2023-44305」、認証不備の脆弱性「CVE-2023-44302」などが判明した。

同社は共通脆弱性評価システム「CVSSv3.1」のベーススコアについて、「CVE-2023-44304」を「8.8」、「CVE-2023-44305」「CVE-2023-44302」をともに「8.1」と評価した。

一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、「CVE-2023-44305」「CVE-2023-44302」をいずれも「9.8」としている。Dellでは攻撃の複雑性が高いと評価したのに対し、「NVD」では容易に攻撃できると判断した。

（Security NEXT - 2023/12/15 ）ツイート