Dell Unisphere for PowerMax vApp, VASA Provider vApp, and Solution Enabler vApp version 9.2.3.x contain an information disclosure vulnerabi

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• dell emc solutions enabler virtual applianceдо 9.2.3.6
• dell emc unisphere for powermaxдо 9.2.3.22
• dell emc unisphere for powermax10.0.0.0 и новее · до 10.0.0.5
• dell emc unisphere for powermax virtual applianceдо 9.2.3.22
• dell emc vasa provider virtual applianceдо 9.2.4.15
• dell powermax osвсе версии
• dell powermax os5978
• dell solutions enabler10.0.0.0 и новее · до 10.0.0.5
• dell solutions enablerдо 9.2.3.6
• dell unisphere 360до 9.2.3.12
• dell vasa providerдо 9.2.4.22

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (dell). Не зависят от анализа CPE в NVD и обычно опережают его.

• Dell Unisphere for PowerMax vApp

  • 9.2.3.xзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-1216A hard-coded password vulnerability was discovered in vApp Manager which is embedded in Dell EMC Unisphere for VMAX, Dell EMC Solutions Enab
  45В плане
• CVE-2018-1215An arbitrary file upload vulnerability was discovered in vApp Manager which is embedded in Dell EMC Unisphere for VMAX, Dell EMC Solutions E
  36Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.