КиберосноваSGRC
BDU:2024-03926
Средний

BDU:2024-03926: Уязвимость программного обеспечения централизованного управления системами хранения данных PowerProtect Data Domain Management Center, программного средства защиты данных в корпоративной средеPowerProtect Data Protection, программного средства защиты данных посредством резервного копирования PowerProtect Data Domain, операционной системы EMC Data Domain OS, программного средства защиты данных в корпоративной среде с использованием облачных технологий APEX Protection Storage, связанная с отсутствием защиты структуры запроса SQL, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v34.3
CVSS v24.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2024-03926

Описание

Уязвимость программного обеспечения централизованного управления системами хранения данных PowerProtect Data Domain Management Center, программного средства защиты данных в корпоративной средеPowerProtect Data Protection, программного средства защиты данных посредством резервного копирования PowerProtect Data Domain, операционной системы EMC Data Domain OS, программного средства защиты данных в корпоративной среде с использованием облачных технологий APEX Protection Storage связана с отсутствием защиты структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию

Что делать с BDU:2024-03926

Уязвимость среднего уровня (CVSS 4.3) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
4.3Средний
Пересчитать →
v2
4.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NAV:N/AC:L/Au:S/C:P/I:N/A:N

CWE — тип уязвимости

CWE-74
CWE-89
CWE-707

CVE — международный идентификатор

CVE-2023-44284
DSA-2023-412
CWE-74
Инъекция

CWE-74 — инъекция: данные извне не обезвреживаются перед передачей компоненту, который разбирает их как команды или код. Ошибка возникает, когда строка из формы, заголовка или параметра сращивается с командой, запросом или шаблоном и меняет их смысл. Злоумышленник получает выполнение произвольных команд, изменение данных в базе или код в браузере.

Тактики и техники

Инъекция

Уязвимое ПО (62)

ВендорНазваниеВерсияПлатформа
Dell TechnologiesPowerProtect Data Protectionдо 2.7.6dp4400
Dell TechnologiesPowerProtect Data Protectionдо 2.7.6dp5900
Dell TechnologiesData Domain Operating Systemдо 6.2.1.110dd3300
Dell TechnologiesData Domain Operating Systemдо 6.2.1.110dd6400
Dell TechnologiesData Domain Operating Systemдо 6.2.1.110dd6900
Dell TechnologiesData Domain Operating Systemдо 6.2.1.110dd9400
Dell TechnologiesData Domain Operating Systemдо 6.2.1.110dd9900
Dell TechnologiesData Domain Operating Systemот 7.0 до 7.12.0.0dd3300
Dell TechnologiesData Domain Operating Systemот 7.0 до 7.12.0.0dd6400
Dell TechnologiesData Domain Operating Systemот 7.0 до 7.12.0.0dd6900
Dell TechnologiesData Domain Operating Systemот 7.0 до 7.12.0.0dd9400
Dell TechnologiesData Domain Operating Systemот 7.0 до 7.12.0.0dd9900
Dell TechnologiesData Domain Operating Systemот 7.7 до 7.7.5.25dd3300
Dell TechnologiesData Domain Operating Systemот 7.7 до 7.7.5.25dd6400
Dell TechnologiesData Domain Operating Systemот 7.7 до 7.7.5.25dd6900
Dell TechnologiesData Domain Operating Systemот 7.7 до 7.7.5.25dd9400
Dell TechnologiesData Domain Operating Systemот 7.7 до 7.7.5.25dd9900
Dell TechnologiesData Domain Operating Systemот 7.10 до 7.10.1.15dd3300
Dell TechnologiesData Domain Operating Systemот 7.10 до 7.10.1.15dd6400
Dell TechnologiesData Domain Operating Systemот 7.10 до 7.10.1.15dd6900
Dell TechnologiesData Domain Operating Systemот 7.10 до 7.10.1.15dd9900
Dell TechnologiesData Domain Operating Systemот 7.10 до 7.10.1.15dd9400
Dell TechnologiesPowerProtect DD management Centerдо 6.2.1.110dd3300
Dell TechnologiesPowerProtect DD management Centerдо 6.2.1.110dd6400
Dell TechnologiesPowerProtect DD management Centerдо 6.2.1.110dd6900
Dell TechnologiesPowerProtect DD management Centerдо 6.2.1.110dd9400
Dell TechnologiesPowerProtect DD management Centerдо 6.2.1.110dd9900
Dell TechnologiesPowerProtect DD management Centerот 7.0 до 7.13.0.10dd3300
Dell TechnologiesPowerProtect DD management Centerот 7.0 до 7.13.0.10dd6400
Dell TechnologiesPowerProtect DD management Centerот 7.0 до 7.13.0.10dd6900
Dell TechnologiesPowerProtect DD management Centerот 7.0 до 7.13.0.10dd9400
Dell TechnologiesPowerProtect DD management Centerот 7.0 до 7.13.0.10dd9900
Dell TechnologiesPowerProtect DD management Centerот 7.7 до 7.7.5.25dd3300
Dell TechnologiesPowerProtect DD management Centerот 7.7 до 7.7.5.25dd6400
Dell TechnologiesPowerProtect DD management Centerот 7.7 до 7.7.5.25dd6900
Dell TechnologiesPowerProtect DD management Centerот 7.7 до 7.7.5.25dd9400
Dell TechnologiesPowerProtect DD management Centerот 7.7 до 7.7.5.25dd9900
Dell TechnologiesPowerProtect DD management Centerот 7.10 до 7.10.1.15dd3300
Dell TechnologiesPowerProtect DD management Centerот 7.10 до 7.10.1.15dd6400
Dell TechnologiesPowerProtect DD management Centerот 7.10 до 7.10.1.15dd6900
Dell TechnologiesPowerProtect DD management Centerот 7.10 до 7.10.1.15dd9400
Dell TechnologiesPowerProtect DD management Centerот 7.10 до 7.10.1.15dd9900
Dell TechnologiesPowerProtect Data Domainдо 6.2.1.110dd3300
Dell TechnologiesPowerProtect Data Domainдо 6.2.1.110dd6400
Dell TechnologiesPowerProtect Data Domainдо 6.2.1.110dd6900
Dell TechnologiesPowerProtect Data Domainдо 6.2.1.110dd9400
Dell TechnologiesPowerProtect Data Domainдо 6.2.1.110dd9900
Dell TechnologiesPowerProtect Data Domainот 7.0 до 7.12.0.0dd3300
Dell TechnologiesPowerProtect Data Domainот 7.0 до 7.12.0.0dd6400
Dell TechnologiesPowerProtect Data Domainот 7.0 до 7.12.0.0dd6900

Показано 50 из 62

Рекомендации по устранению

Исползование рекомендаций: https://www.dell.com/support/kbdoc/en-us/000220264/dsa-2023-412-dell-technologies-powerprotect-security-update-for-multiple-security-vulnerabilities

Источники (1)

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 4.3

Уточните SLA под вашу среду

Базовый балл 4.3 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.6%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-12-23

Опубликована

2024-05-20

Обновлена

2024-05-20

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-44284 MITRE: CWE-74 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Средний
6.7

Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain операционных

 
Высокий
8.8

Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain операционных

 
Высокий
7.2

Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain операционных

 
Средний
4.3

Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain операционных

 
Средний
6.7

Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain операционных

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0