Data Domain Management Centerに脆弱性、修正版あり
Dell PowerProtect Data Domain Management Centerに、権限の低いアカウントでも管理対象の機器を不正に操作できてしまう脆弱性が見つかりました。Data Domainのバックアップ基盤を集中管理している組織が対象で、4つの提供系統すべてに修正版があります。まず自社の版を確かめ、該当すれば修正版へ更新してください。
急ぎ度: 早めに
CVSS v3が9.6で、一般的な運用アカウントでも条件を満たし得るうえ、修正版がすでに出ているため、更新を前倒しで計画するのが妥当です。
関係があるか
Data Domainを複数台運用し、Management Centerで集中管理している組織が対象です。Management Centerを使っていない環境は、この脆弱性の対象外です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| PowerProtect Data Domain Management Center（Feature Release） | 7.7.1.0から8.8まで | 8.9.0.0以降 |
| PowerProtect Data Domain Management Center（LTS2024） | 7.13.1.0から7.13.1.80まで | 7.13.1.90以降 |
| PowerProtect Data Domain Management Center（LTS2025） | 8.3.1.0から8.3.1.40まで | 8.3.1.50以降 |
| PowerProtect Data Domain Management Center（LTS2026） | 8.6.1.0から8.6.1.20まで | 8.6.1.30以降 |
確かめ方
- 1Management Centerのバージョン表示で、現在の版とどの提供系統（Feature ReleaseかLTS2024・LTS2025・LTS2026のいずれか）かを確認します。
- 2確認した版を、上の表の修正版と見比べます。修正版より前の版は、更新の対象と考えてください。
- 3どの機器をManagement Centerに登録しているかを洗い出し、影響が及ぶ範囲を把握します。
何が起きたか
Dell PowerProtect Data Domain Management Centerに、権限の確認が抜けている脆弱性があります。権限の低いアカウントでも、管理対象のシステムに対して本来は許されない操作ができてしまう恐れがあります。
CVE-2026-103799として2026年10月28日に公開されました。分類はCWE-862（Missing Authorization）で、DellはセキュリティアドバイザリDSA-2026-416で修正版を案内しています。このアドバイザリは複数の脆弱性をまとめて扱っています。
CVSSのベクターでは、影響範囲が脆弱なコンポーネントの外に及ぶ（スコープが変わる）と評価されています。Management Center自体だけでなく、その先の管理対象に被害が広がる設計上の位置づけが、9.6という高い値の背景にあります。
攻撃の流れ
-
1
低権限で接続
Management Centerにネットワーク経由で、権限の低いアカウントを使って接続します。
-
2
権限確認の不足
本来は上位の権限が必要な操作に対して、権限の確認が行われないまま処理されます。
-
3
管理対象へ波及
Management Centerが管理しているシステムに対して、不正な操作が実行されます。
-
4
改ざんと停止
管理対象の設定や運用が書き換えられ、サービスの継続にも支障が出る恐れがあります。
どう悪用されるか
悪用にはネットワーク越しの接続と、低権限のアカウントが必要です。攻撃の複雑さは低く、管理者など別の利用者に操作させる必要もありません。認証なしでは悪用できませんが、社内の一般運用者向けアカウントや、流出した資格情報が起点になる可能性はあります。
悪用されると、管理対象のシステムが権限のない者に操作されます。評価上の影響は、データや設定の改ざんと、システムの停止や機能不全に重点があります。バックアップ基盤で起きれば、復旧の手段そのものが損なわれかねません。
今すぐやること
-
1
自社の版と系統を確認する
Management Centerの版と提供系統を確認し、修正版より前であれば更新対象として扱います。複数台ある場合は、すべての台について確認します。
-
2
修正版に更新する
使っている提供系統に対応する修正版へ更新します。更新中は管理機能が使えなくなる時間が出るため、バックアップのスケジュールと重ならない時間帯を選びます。
-
3
操作履歴を点検する
更新の前後で、想定していない管理操作や設定変更がないかを確認します。低権限のアカウントによる管理系の操作が残っていれば、とくに注意して見てください。
-
4
Dellの告知を読む
DSA-2026-416には、同時に修正された他の脆弱性も含まれています。Data Domain本体など関連製品の更新が必要かどうかも、あわせて確認します。
すぐ更新できないとき
すぐに更新できないときは、被害を狭める措置をとります。Management Centerの管理画面に届く通信を、管理用のネットワークと決まった端末だけに絞ってください。あわせて、低権限のアカウントを棚卸しし、使っていないものを無効化するか、パスワードを変更します。ただし、これらは修正版の代わりにはなりません。
背景
Data Domainは、Dellが提供するバックアップの保存先となる専用機器です。Management Centerは、複数台のData Domainをまとめて監視し、設定や運用を一か所から行うための管理基盤にあたります。
台数が多い組織ほど、日々の操作はこの管理基盤に集まります。そこで権限の確認が破られると、1台ずつ侵入しなくても配下の機器へ影響が広がります。今回のスコープが変わるという評価は、この構造を反映したものとみられます。バックアップ装置は、ランサムウェアの攻撃者がバックアップを消して復旧を妨げる狙いで標的にすることも広く知られています。
よくある質問
Q.バックアップデータが外部に読み取られる恐れはありますか。
Q.更新が難しい場合、Management Centerを止めておくべきですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。悪用の確認が出た場合は、Dellの告知や関連機関の情報で確認してください。
- どの操作が権限なしで実行できるのか、必要な権限の具体的な範囲は明かされていません。
- Dellが公式の回避策を示しているかどうかは分かっていません。DSA-2026-416の最新の内容を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Dell | PowerProtect Data Domain Management Center |
8.9.0.0 or later 未満 7.13.1.90 or later 未満 8.3.1.50 or later 未満 8.6.1.30 or later 未満 |
8.9.0.0 or later 7.13.1.90 or later 8.3.1.50 or later 8.6.1.30 or later |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Dell PowerProtect Data Domain Management Center, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.13.1.80, LTS2025 release versions 8.3.1.0 through 8.3.1.40, LTS2026 release versions 8.6.1.0 through 8.6.1.20, contain a Missing Authorization vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to unauthorized system operation on managed systems.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security_alert@emc.com
- web nvd.nist.gov
- web github.com