Dell Application Store: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
Dell Application Store in Versionen vor 26.05.0.7 verlangt für eine kritische Funktion keine Authentifizierung. Ein nicht authentifizierter Angreifer im selben Netzwerksegment (adjazenter Netzwerkzugriff) könnte möglicherweise beliebigen Code auf dem betroffenen Gerät ausführen. Es sind weder Benutzerinteraktion noch Berechtigungen erforderlich, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.
Betroffen
- Dell Application Store in Versionen vor 26.05.0.7
- Aufgeführte Dell Thin Clients und IoT-Geräte mit Windows 10 IoT Enterprise LTSC 2021 und Windows 11 IoT Enterprise LTSC 2024 (zum Beispiel Latitude 3440, 5440, 5450, OptiPlex 3000 Thin Client, OptiPlex All-in-One 7410/7420, OptiPlex Micro Plus 7010/7020)
Behoben in
- Dell Application Store in Version 26.05.0.7 oder neuer (gemäss CVE-Beschreibung und Tabelle im Dell-Advisory; der genaue Build auf der Dell-Download-Seite konnte nicht verifiziert werden)
Umgehung
Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme. Prüfen Sie das Dell-Advisory DSA-2026-411 auf Zwischenlösungen. Falls keine existiert, beschränken Sie den Zugriff auf den Gerätemanagement-Dienst auf vertrauenswürdige Hosts und setzen Sie Netzwerksegmentierung ein.
Ausnutzung
- Nicht im Katalog CISA KEV aufgeführt.
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein.
- In der Recherche wurde kein öffentlicher Proof of Concept oder Exploit gefunden. Dies beweist nicht, dass keiner existiert.
- EPSS-Score 0.00299.
Unsere Empfehlung
- Erfassen Sie Dell Thin Clients und Windows-IoT-Kioske, auf denen Dell Application Store installiert ist.
- Aktualisieren Sie Dell Application Store auf Version 26.05.0.7 oder neuer, wie im Dell-Advisory DSA-2026-411 beschrieben. Prüfen Sie zuvor die fixe Version im Advisory.
- Beschränken Sie bis zur Behebung den Zugriff aus dem lokalen Netzwerksegment auf vertrauenswürdige Hosts und Geräte.
- Überwachen Sie die Verfügbarkeit öffentlicher Exploit-Codes, da die CVE-Meldung neu ist.
- Das Dell-Advisory DSA-2026-411 umfasst auch CVE-2026-71170 und CVE-2026-71169; spielen Sie die Updates gemeinsam ein.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- DSA-2026-411: Security Update for Dell Application Store for Multiple Vulnerabilities www.dell.com
- OpenCVE: CVE-2026-82166 app.opencve.io
- Strix: CVE-2026-82166 www.strix.ai
- Strix: CVE-2026-71170 www.strix.ai
- Strix: CVE-2026-71169 www.strix.ai
- Dell Application Store user guide (Latitude 5450, Windows 11 IoT LTSC 2024) www.dell.com
- VulDB: CVE-2026-82166 vuldb.com
- CNNVD-2026-29975530 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.