Dell System Update: Unauthentifizierte Path Traversal führt zu Root-Codeausführung

Zusammenfassung

Dell System Update (DSU) Versionen vor 2.3.0.0 enthalten eine Path-Traversal-Schwachstelle (CWE-22), die ohne Authentifizierung aus der Ferne ausgenutzt werden kann. Gemäss Dell kann ein erfolgreicher Angreifer auf das Dateisystem zugreifen und beliebigen Code mit Root-Rechten ausführen, was zur vollständigen Kompromittierung der Anwendung und des darunterliegenden Betriebssystems führen kann. Der CVSS-Basiswert beträgt 9.6 (kritisch); der Vektor enthält eine Benutzerinteraktion. Dell meldet keine aktive Ausnutzung.

Betroffen

• Dell System Update (DSU), alle Versionen vor 2.3.0.0
• Läuft unter Linux und Windows; wird zum Einspielen von Treiber-, BIOS- und Firmware-Updates auf Dell PowerEdge Servern verwendet

Behoben in

• Dell System Update 2.3.0.0 oder neuer (behebt CVE-2026-86360 und vier weitere CVEs in DSA-2026-324)

Umgehung

• Unbekannt. Dell dokumentiert keinen Workaround.
• Kompensierende Massnahme (nicht von Dell): Zugriff auf DSU-Hosts bis zur Behebung auf vertrauenswürdige Admin-Netzwerke und Benutzer beschränken.

Ausnutzung

• Dell hat keine Ausnutzung in freier Wildbahn gemeldet.
• In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden; dies ist kein bestätigtes Fehlen.
• Status im CISA KEV: nicht verifiziert.

Unsere Empfehlung

• Alle DSU-Installationen unter Windows und Linux inventarisieren, einschliesslich älterer Admin-Hosts, und deren Versionen erfassen.
• DSU auf Version 2.3.0.0 oder neuer aktualisieren, zuerst Hosts, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
• Bis zur Aktualisierung den Netzwerkzugriff auf DSU-Hosts auf vertrauenswürdige Admin-Netzwerke beschränken.
• Logs auf Path-Traversal-Muster sowie unerwartete privilegierte oder Dateisystemaktivitäten prüfen.
• Den CISA KEV-Katalog und das Dell-Advisory auf Updates prüfen.

Quellen der Recherche

• Dell DSA-2026-324 www.dell.com
• University of Toronto advisory security.utoronto.ca
• Help Net Security www.helpnetsecurity.com
• Security Affairs securityaffairs.com
• TheHackerWire www.thehackerwire.com
• Tenable plugin 364718 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:07.