Dell - CVE-2026-94346
Date de publication :
Il s’agit d’une vulnérabilité de type traversée de répertoire (path traversal) dans Dell PowerProtect Data Domain Virtual Edition, sous DD OS.
Dell PowerProtect Data Domain Virtual Edition est la version logicielle de l’appliance de sauvegarde et de déduplication Data Domain. Elle se déploie sous forme de machine virtuelle et repose sur le système DD OS pour stocker et protéger les données de sauvegarde.
Le défaut vient d’une neutralisation insuffisante des séquences de remontée de chemin dans un nom de fichier ou de répertoire. L’attaque s’effectue à distance par le réseau, sans interaction de l’utilisateur. Elle exige toutefois un compte à privilèges élevés. Dell ne précise ni la fonction ni le composant concernés.
Elle permet à un attaquant distant disposant de privilèges élevés d’exécuter des commandes sur le système.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-60
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur à privilège
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Dell PowerProtect Data Domain Virtual Edition Feature Release versions 7.7.1.0 jusqu’à 8.7
- Dell PowerProtect Data Domain Virtual Edition LTS2024 versions 7.13.1.0 jusqu’à 7.13.1.70
- Dell PowerProtect Data Domain Virtual Edition LTS2025 versions 8.3.1.0 jusqu’à 8.3.1.30
- Dell PowerProtect Data Domain Virtual Edition LTS2026 versions 8.6.1.0 jusqu’à 8.6.1.10
Solutions ou recommandations
• LTS2024 : versions 7.13.1.90 et supérieures (7.13.1.80 est la version minimale corrigeant cette CVE)
• LTS2025 : versions 8.3.1.50 et supérieures (8.3.1.40 est la version minimale corrigeant cette CVE)
• LTS2026 : versions 8.6.1.30 et supérieures (8.6.1.20 est la version minimale corrigeant cette CVE)