Dell Ansible Storage for Unity: Unzureichende Zertifikatsprüfung
Zusammenfassung
Dell Ansible Storage for Unity, eine Ansible-Collection zur Verwaltung von Dell-Unity-Speichersystemen, prüft in der Komponente UnityRESTConnector in Versionen vor 1.2.13 Zertifikate nicht korrekt. Ein entfernter Angreifer, der die Verbindung zwischen dem Automatisierungshost und dem Unity-Managementsystem abfangen oder umleiten kann, könnte möglicherweise vertrauliche Informationen einsehen und unberechtigten Zugriff erlangen. Eine Authentifizierung ist nicht erforderlich, der Angriff ist jedoch komplex und setzt eine geeignete Netzwerkposition voraus.
Betroffen
- Dell Ansible Storage for Unity, Versionen vor 1.2.13 (die Produkttabelle des Herstellers nennt Versionen vor 1.2.12)
Behoben in
- Version 1.2.13 oder neuer (gemäss Dell DSA-2026-431)
Umgehung
- Zertifikatsprüfung in Playbooks explizit aktivieren, indem verify=True gesetzt wird (gemäss Dell-Advisory)
- Zertifikatsprüfung nicht deaktivieren
- Unity-Automatisierung bis zur Behebung nur aus vertrauenswürdigen Managementnetzwerken ausführen
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt (OffSeq: nicht als ausgenutzt bekannt)
- Kein öffentlicher Proof-of-Concept gefunden; Status unbekannt
- Veröffentlicht am 11. November 2026, daher ist die öffentliche Forschung noch begrenzt
Unsere Empfehlung
- Hosts mit der Collection dellemc.unity inventarisieren und deren Versionen erfassen
- Auf Version 1.2.13 oder neuer aktualisieren
- Playbooks und Konfigurationen auf deaktivierte oder fehlende Zertifikatsprüfung prüfen und verify=True setzen
- Zugriff von Automatisierungshosts auf das Unity-Managementinterface auf vertrauenswürdige Netze beschränken
- CISA KEV und öffentliche Exploit-Quellen in den kommenden Wochen erneut prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Dell DSA-2026-431 Security Update www.dell.com
- OffSeq: CVE-2026-91890 entry radar.offseq.com
- CVE record mirror: CVE-2026-91890 cve.threatint.com
- Dell Community: Unity Ansible module and CA certificates www.dell.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.