Dell PowerProtect Data Domain Management Center: SQL-Injection

Zusammenfassung

Eine SQL-Injection-Schwachstelle (CWE-89) in der Verwaltungskomponente von Dell PowerProtect Data Domain Management Center erlaubt einem angemeldeten Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff, SQL-Befehle einzuschleusen. Laut CNA kann dies zu unautorisiertem Zugriff auf verwaltete Systeme führen. Der CVSS-Wert 9.6 ergibt sich aus einer Scope-Änderung. Für die Ausnutzung ist ein gültiges Konto mit niedrigen Rechten nötig; öffentliche Exploits und eine Ausnutzung in freier Wildbahn sind nicht bekannt.

Betroffen

• Feature Release 7.7.1.0 bis 8.8 (obere Grenze unklar, siehe Hinweis unten)
• LTS2024: 7.13.1.0 bis 7.13.1.80
• LTS2025: 8.3.1.0 bis 8.3.1.40
• LTS2026: 8.6.1.0 bis 8.6.1.20
• Hinweis: Eine Drittquelle beschreibt den Feature-Release-Bereich bis 8.8.0.0. Im Dell-Advisory prüfen.

Behoben in

Unbekannt aus dem Dell-Advisory-Text. Drittquellen nennen folgende behobene Versionen, noch nicht gegen Dell verifiziert:

• 8.9.0.0 oder neuer
• 8.6.1.30 oder neuer
• 8.3.1.50 oder neuer
• 7.13.1.90 oder neuer

Umgehung

Unbekannt. Es ist kein Workaround dokumentiert; laut Brandefense nennt Dell keinen. Das Patchen ist die Massnahme.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn (OffSeq).
• Kein öffentlicher Exploit bekannt (VulDB); nicht vollständig verifiziert.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• EPSS: 0.37 % (Perzentil 31).

Unsere Empfehlung

• Alle Instanzen des Data Domain Management Center und deren Versionen inventarisieren.
• Die behobenen Versionen im Dell-Advisory DSA-2026-416 bestätigen und danach jede Release-Linie patchen.
• Den Zugriff auf die Management-Schnittstelle auf Admin-Netze oder ein VPN beschränken; nicht ans Internet exponieren.
• Nicht benötigte Konten entfernen und Konten mit niedrigen Berechtigungen prüfen.
• Management-Logs auf ungewöhnliche Abfragen oder Anmeldungen überwachen.

Quellen der Recherche

• Dell DSA-2026-416 Security Update www.dell.com
• Brandefense: Dell Data Domain critical vulnerabilities (DSA-2026-416) brandefense.io
• OffSeq Radar: CVE-2026-103792 radar.offseq.com
• Strix AI: CVE-2026-103792 www.strix.ai
• VulDB: CVE-2026-103792 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:56.