Dell Application Store: Unkontrolliertes Suchpfad-Element ermöglicht Rechteerweiterung
Zusammenfassung
Dell Application Store vor Version 26.05.0.7 enthält eine Schwachstelle durch ein unkontrolliertes Suchpfad-Element (CWE-427 laut NVD; VulDB klassifiziert sie als Path Traversal). Ein lokaler Benutzer mit niedrigen Berechtigungen kann sie ausnutzen, um Rechte zu erweitern und beliebigen Code auszuführen, möglicherweise auf SYSTEM-Ebene. Die Schwachstelle ist nicht aus der Ferne erreichbar, ist aber auf gemeinsam genutzten PCs, Kiosken und Thin Clients relevant, auf denen Mitarbeitende Standardkonten verwenden.
Betroffen
- Dell Application Store vor Version 26.05.0.7 auf Windows 10 und Windows 11 IoT Enterprise LTSC Systemen, zum Beispiel Latitude 3440, 5440 und 5450, OptiPlex 3000 Thin Client, OptiPlex All-in-One 7410 und 7420 sowie OptiPlex Micro Plus 7010 und 7020
Behoben in
- Dell Application Store Version 26.05.0.7 oder neuer (Veröffentlichungsdatum laut Dell: 31.07.2026)
Umgehung
- Unbekannt. Dell dokumentiert keinen Workaround; das Einspielen des Patches ist die Massnahme.
- Übergangsmassnahmen, nicht vom Hersteller bestätigt: lokale Anmeldung auf gemeinsam genutzten Endgeräten einschränken und Schreibzugriff für Standardbenutzer auf Verzeichnisse begrenzen, aus denen die Anwendung Dateien lädt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht in CISA KEV gelistet. EPSS etwa 0,0015.
- Keine öffentlichen Proof-of-Concept-Exploits oder Ausnutzungsberichte gefunden; dies schliesst eine Ausnutzung nicht aus.
Unsere Empfehlung
- Dell Application Store Versionen auf allen Endgeräten inventarisieren.
- Jede Installation unter 26.05.0.7 auf Version 26.05.0.7 oder neuer aktualisieren, gemäss Dell-Advisory KB 000506927.
- Gemeinsam genutzte PCs, Kioske und Thin Clients priorisieren.
- Das gesamte Release einspielen, da es auch CVE-2026-71169 und CVE-2026-82166 behebt.
- NVD und Dell auf Aktualisierungen der CWE-Einstufung und des Advisories prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Dell DSA-2026-411 Security Update www.dell.com
- OpenCVE CVE-2026-71170 app.opencve.io
- VulDB 422534 vuldb.com
- Positive Technologies PT-2026-117639 vulners.com
- Strix CVE-2026-71170 www.strix.ai
- OffSeq Radar CVE-2026-71170 radar.offseq.com
- CNNVD CNNVD-2026-30866766 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.