Dell OpenManage Ansible Modules: Unzureichende Zertifikatsprüfung in iDRAC Redfish API
Zusammenfassung
Dell OpenManage Ansible Modules in den Versionen 2.1.2 bis 10.0.3 prüfen Zertifikate im Bestandteil iDRACRedfishAPI nicht ausreichend. Ein Angreifer mit Fernzugriff, der sich im Netzwerkpfad zwischen dem Ansible Control Node und iDRAC befindet, könnte sich als iDRAC-Endpunkt ausgeben, was zu Informationsoffenlegung und unberechtigtem Zugriff führen kann. Der CNA bewertet die Schwachstelle mit CVSS 8.7 (hoch), wobei die Angriffskomplexität hoch ist und eine Netzwerkposition erforderlich ist.
Betroffen
- Dell OpenManage Ansible Modules 2.1.2 bis 10.0.3 (CVE-Eintrag, CNA Dell)- Der CNA listet alle Versionen vor 11.0.0 als betroffen auf
Behoben in
- Aktualisierung auf Version 11.0.0 oder neuer (laut Drittanbieter-Aggregator; noch nicht gegen das Dell-Advisory DSA-2026-432 verifiziert)- Unbekannt, ob für Versionen 10.x ein Fix verfügbar ist
Umgehung
- Kein herstellerseitig angegebener Workaround gefunden- Vorläufige Massnahme (nicht vom Hersteller angegeben): Prüfen, ob validate_certs in Playbooks auf false gesetzt ist; Dell dokumentiert, dass validate_certs vor Collection-Version 5.0.0 standardmässig False war
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung bekannt- Kein öffentlicher Proof of Concept gefunden- VulDB beschreibt die Schwachstelle als schwer ausnutzbar und gibt an, dass keine Authentifizierung erforderlich ist
Unsere Empfehlung
- OpenManage Ansible Modules auf Version 11.0.0 oder neuer aktualisieren, nachdem die fixe Version im Dell-Advisory DSA-2026-432 bestätigt wurde- Alle Playbooks auf validate_certs: false prüfen und die Zertifikatsprüfung mit vertrauter iDRAC-CA aktivieren- Zugriff vom Ansible Control Node auf das iDRAC-Management-Netz einschränken und Benutzernetze davon fernhalten- Auf Proof-of-Concept- oder Ausnutzungsmeldungen achten; Priorität mittel, hoch falls der Control Node geteilt ist oder aus Benutzernetzen erreichbar ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Dell DSA-2026-432 Security Update for Dell Ansible Server Vulnerabilities www.dell.com
- CVE Record CVE-2026-91873 www.cve.org
- VulDB entry CVE-2026-91873 vuldb.com
- OffSeq Radar CVE-2026-91873 radar.offseq.com
- Dell OpenManage Ansible Modules reference guide dl.dell.com
- Dell OpenManage Ansible Modules 8.0.0 user guide: gather facts from iDRAC www.dell.com
- OpenManage Ansible Modules changelog github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.