Data Domain Management Centerに脆弱性、修正版あり
Dell PowerProtect Data Domain Management CenterにSQLインジェクションの脆弱性が見つかり、管理下のシステムへ不正にアクセスされるおそれがあります。バックアップ基盤にこの製品を使っている組織が対象で、利用中のリリース系統に合った修正版への更新を早めに計画してください。
急ぎ度: 早めに
CVSS v3は9.6と高く修正版も出ているため、定例の更新を待たずに早めに当てる段階です。
関係があるか
PowerProtect Data Domain Management Centerを運用し、複数のData Domainをまとめて管理している組織が対象です。Feature ReleaseとLTSの3系統（LTS2024・LTS2025・LTS2026）のいずれも影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| PowerProtect Data Domain Management Center(Feature Release) | 7.7.1.0から8.8まで | 8.9.0.0以降 |
| PowerProtect Data Domain Management Center(LTS2024) | 7.13.1.0から7.13.1.80まで | 7.13.1.90以降 |
| PowerProtect Data Domain Management Center(LTS2025) | 8.3.1.0から8.3.1.40まで | 8.3.1.50以降 |
| PowerProtect Data Domain Management Center(LTS2026) | 8.6.1.0から8.6.1.20まで | 8.6.1.30以降 |
確かめ方
- 1資産台帳や構成図で、Management Centerを導入しているかを確認する。Data Domain本体だけの環境は、この表の対象製品とは別です。
- 2Management Centerの管理画面で、導入している版を確認する。
- 3版の番号から、Feature ReleaseとLTS2024・LTS2025・LTS2026のどの系統かを判断し、上の表の修正版と照らし合わせる。
- 4判断に迷う場合は、Dellのセキュリティ告知（DSA-2026-416）に載っている版の一覧と照合する。
何が起きたか
Dell PowerProtect Data Domain Management Centerに、SQLインジェクションの脆弱性（CVE-2026-103792）が見つかりました。悪用されると、Management Centerが管理しているシステムに、権限のない者がアクセスできてしまいます。
原因は、SQL命令を組み立てる際に、入力に含まれる特殊な文字を正しく無害化していないことです。分類はCWE-89で、データベースを使うアプリケーションで古くから知られる種類の脆弱性にあたります。
Dellは、PowerProtect Data Domainの複数の脆弱性をまとめたセキュリティアップデートとして、この脆弱性の修正版を公開しました。公開日は2026年10月28日です。
攻撃の流れ
-
1
低権限で認証
Management Centerに、一般的な権限のアカウントでログインします。
-
2
細工した入力
ネットワーク経由で、特殊な文字を含む入力を送ります。
-
3
SQL命令に混入
入力が無害化されず、データベースへの命令の一部として解釈されます。
-
4
管理下へ波及
Management Centerが管理するシステムに、権限のないアクセスが及びます。
どう悪用されるか
悪用にはネットワーク越しの接続と、Management Centerへのログインが必要です。必要な権限は低くてかまわず、管理者権限までは求められません。利用者の操作を待つ必要もなく、攻撃の難易度は低いとされています。
被害として想定されているのは、管理対象のシステムへの不正アクセスです。評価では、情報の漏えいと改ざんの影響が大きく、停止などの可用性への影響はないとされています。脆弱性のあるManagement Centerだけでなく、その先の管理対象にも影響が広がる点が、CVSSの評価を押し上げています。
今すぐやること
-
1
導入している版を確認する
Management Centerの版と系統（Feature ReleaseかLTSか）を洗い出し、上の表と照らし合わせます。複数拠点にあるなら、すべて確認してください。
-
2
同じ系統の修正版へ更新する
Feature Releaseは8.9.0.0以降、LTS2024は7.13.1.90以降、LTS2025は8.3.1.50以降、LTS2026は8.6.1.30以降に更新します。手順と前提条件はDellの告知とリリースノートで確認し、バックアップ運用への影響が少ない時間帯に実施します。
-
3
ログインできるアカウントを棚卸しする
悪用には低権限のアカウントが足りるため、使っていないアカウントや、共有されているアカウントを整理します。
-
4
更新後に操作の記録を見直す
不審なログインや、心当たりのない操作が管理対象システムに残っていないかを確認します。
すぐ更新できないとき
更新まで時間がかかる場合は、暫定の軽減策として、Management Centerに接続できるネットワークを、運用担当者の端末や管理用のセグメントに限ります。あわせて、不要なアカウントを無効にします。これはDellが示した回避策ではなく、攻撃の入り口を狭めるための一般的な措置であり、修正版の更新の代わりにはなりません。
背景
Data Domainは、Dellが提供するバックアップ用のストレージ装置です。Management Centerは、複数台のData Domainを一つの画面でまとめて監視し、管理するための製品です。企業では、バックアップの設定や状態を一元的に扱う管理の入り口にあたります。
バックアップは、障害やランサムウェアの被害から復旧するときの最後のよりどころです。そのため、管理の入り口が破られると、通常のサーバーと違って、復旧手段そのものに影響が及びかねません。SQLインジェクションは、入力を無害化していなければ起きる種類の脆弱性で、ウェブアプリケーションの管理画面を持つ製品では、古くから確認されてきました。
よくある質問
Q.LTSを使っています。Feature Releaseの8.9.0.0へ上げる必要はありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。
- 悪用に必要な低権限が、どの役割のアカウントを指すのかは公表されていません。
- Dellが回避策を示しているか、管理対象のData Domain側にも更新が要るかは、告知本文の確認が必要です。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Dell | PowerProtect Data Domain Management Center |
8.9.0.0 or later 未満 7.13.1.90 or later 未満 8.3.1.50 or later 未満 8.6.1.30 or later 未満 |
8.9.0.0 or later 7.13.1.90 or later 8.3.1.50 or later 8.6.1.30 or later |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Dell PowerProtect Data Domain Management Center, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.13.1.80, LTS2025 release versions 8.3.1.0 through 8.3.1.40, LTS2026 release versions 8.6.1.0 through 8.6.1.20, contain an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Unauthorized access to managed systems.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security_alert@emc.com
- web nvd.nist.gov
- web github.com