Les correctifs publiés cette semaine par Dell pour son produit OpenManage Enterprise corrigent plusieurs vulnérabilités de gravité critique.

Application de gestion et de surveillance des systèmes, Dell OpenManage Enterprise offre aux administrateurs une vue complète des serveurs Dell EMC, des commutateurs réseau et du stockage dans leur environnement.

Le plus grave de ces problèmes est CVE-2021-21564 (score CVSS de 9,8), une vulnérabilité d’authentification inappropriée qui pourrait permettre à un attaquant distant de « détourner une session élevée ou d’effectuer des actions non autorisées en envoyant des données mal formées ». L’exploitation de la vulnérabilité ne nécessite pas d’authentification.

Une autre vulnérabilité critique que Dell a corrigée dans OpenManage Enterprise est CVE-2021-21585 (score CVSS de 9,1), un bogue d’injection de commande de système d’exploitation dans les outils RACADM et IPMI qui pourrait permettre à un utilisateur malveillant distant et authentifié qui dispose déjà de privilèges élevés d’exécuter un système d’exploitation arbitraire. commandes.

Une troisième faille critique corrigée dans Dell OpenManage Enterprise est CVE-2021-21596 (score CVSS de 9,6), un problème d’exécution de code à distance qui pourrait permettre à un attaquant malveillant ayant accès au sous-réseau immédiat d’accéder à des informations sensibles et potentiellement d’élever ses privilèges.

La vulnérabilité a été identifiée par les chercheurs en sécurité indépendants Pierre Kim et Alexandre Torres, qui l’ont signalée à Dell avec plus de 20 autres problèmes dans la console de gestion d’infrastructure.

Ceux-ci incluent les informations d’identification ActiveMQ codées en dur, les fichiers de magasin de clés codés en dur, les mots de passe JDBC codés en dur, les mots de passe codés en dur pour core_admin et le réplicateur, un compte système non documenté, plusieurs problèmes d’élévation des privilèges locaux et des failles de désérialisation Java, entre autres bogues de sécurité.

Les chercheurs ont déclaré avoir découvert ces vulnérabilités en juillet 2020, mais ne les ont signalées à Dell que cette année. La société n’a reconnu que CVE-2021-21596 comme ayant un réel impact sur OpenManage Enterprise,…