CVE-2025-43943
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Dell Cloud Disaster Recovery w wersjach przed 19.20 zawiera podatność typu OS Command Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Wysoko uprzywilejowany atakujący z dostępem lokalnym może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.
Ocena ryzyka
Atakujący z wysokimi uprawnieniami i dostępem lokalnym może wykonać dowolne polecenia jako root, co prowadzi do pełnego przejęcia systemu. Może to skutkować naruszeniem poufności, integralności i dostępności danych.
Rekomendacja
Należy zaktualizować Dell Cloud Disaster Recovery do wersji 19.20 lub nowszej. Zaleca się również ograniczenie dostępu lokalnego do systemu wyłącznie do zaufanych administratorów.
Inne podatności w Dell Cloud Disaster Recovery
Zobacz wszystkie- CVE-2026-70419Krytyczne
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, którą może wykorzystać atakujący z wysokimi uprawnieniami i zdalnym dostępem, prowadząc do wykonania poleceń.
- CVE-2026-71172Średnie
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność Server-Side Request Forgery (SSRF). Atakujący z niskimi uprawnieniami i zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do fałszowania żądań po stronie serwera.
- CVE-2026-71171Wysokie
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w interfejsie REST API. Wysoko uprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Dell Cloud Disaster Recovery, version(s) prior to 19.20, contain(s) an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability. A high privileged attacker with local access could potentially exploit this vulnerability to execute arbitrary commands with root privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS