Dell OpenManage Ansible Modules: XML-Injection in der XML-Datenkonvertierung

Zusammenfassung

Dell OpenManage Ansible Modules in den Versionen 6.0.0 bis 10.0.3 enthalten eine Injection-Schwachstelle in der Komponente zur XML-Datenkonvertierung. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Remote-Zugriff kann XML und schädlichen Inhalt einschleusen sowie XML-Parsing-Fehler auslösen. Betroffen sind vor allem Integrität und Verfügbarkeit, nicht die Vertraulichkeit, und ohne gültiges Konto ist die Schwachstelle nicht ausnutzbar.

Betroffen

• Dell OpenManage Ansible Modules 6.0.0 bis 10.0.3 (gemäss Dell-CNA-Beschreibung)
• Untere Grenze gemäss Dell-Beschreibung 6.0.0; der CVE.org-Eintrag nennt 0 (nicht verifiziert)

Behoben in

• Behoben in Version 11.0.0 oder neuer (gemäss CVE.org-Eintrag; in der Dell-Sicherheitsmitteilung DSA-2026-432 überprüfen)

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• VulDB gibt an, dass weder technische Details noch ein Exploit öffentlich verfügbar sind.
• Status im CISA-KEV-Katalog nicht geprüft.

Unsere Empfehlung

• Prüfen, ob Dell OpenManage Ansible Modules eingesetzt wird und welche Versionen installiert sind.
• Im nächsten Wartungsfenster auf Version 11.0.0 oder neuer aktualisieren; die Freigabe vorher in der Dell-Sicherheitsmitteilung überprüfen.
• Zugriff auf den Ansible-Automatisierungshost und seine Dienstkonten einschränken, da der Angreifer ein Konto mit niedrigen Berechtigungen benötigt.
• Automatisierungsprotokolle auf unerwartete XML-Inhalte oder Parsing-Fehler überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• DSA-2026-432 Dell security advisory www.dell.com
• CVE.org record CVE-2026-91878 www.cve.org
• VulDB CVE-2026-91878 vuldb.com
• Threatint mirror of CNA text cve.threatint.com
• OffSeq threat radar radar.offseq.com
• Ansible OpenManage collection documentation docs.ansible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:32.