Wyse Management SuiteのXSS脆弱性、修正版あり
Dell Wyse Management Suiteに、管理コンソールでスクリプトを仕込まれるおそれのある脆弱性（CVSS v3は9.0）があり、修正版が出ています。シンクライアントを管理している組織は、版を確認して更新してください。
急ぎ度: 早めに
CVSS v3は9.0で修正版が公開済みですが、悪用には認証済みアカウントと利用者の操作が要るため、至急ではなく早めの更新が妥当です。
関係があるか
Dell Wyse Management Suiteを自社で運用し、Wyseのシンクライアントを集中管理している組織が対象です。管理コンソールに低権限のアカウントを持つ人が多いほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Dell Wyse Management Suite | 2609.0.0.155より前の版 | 2609.0.0.155 |
確かめ方
- 1Wyse Management Suiteの管理コンソールにログインし、画面に表示される製品の版が2609.0.0.155より前かどうかを確認します。
- 2オンプレミスで自社サーバーに入れている場合は、インストールした版を導入記録でも照合します。
- 3クラウド版を使っている場合の扱いは、DellのDSA-2026-405の告知で確認します。
何が起きたか
Dell Wyse Management Suiteに、画面を生成するときの入力の扱いに不備があるクロスサイトスクリプティングの脆弱性があります。権限の低いアカウントを持つ者がネットワーク越しにスクリプトを注入できるおそれがあり、Dellは2026年11月3日に修正版を告知しました。
分類はCWE-79で、CVSS v3は9.0の重大です。ベクターでは、影響が脆弱なコンポーネントの外へ及ぶ（スコープの変更あり）と評価されています。機密性・完全性・可用性への影響がいずれも高いため、通常のXSSより点数が高く出ています。
攻撃の流れ
-
1
低権限で接続
管理コンソールに届くネットワーク上から、低権限のアカウントでアクセスします。
-
2
スクリプトを注入
入力の無害化が不十分な箇所に、スクリプトを仕込みます。
-
3
利用者が操作
ほかの利用者が該当の画面を開くなど、何らかの操作をします。
-
4
スクリプトが実行
仕込まれたスクリプトが動き、管理コンソールの外にまで影響が及ぶおそれがあります。
どう悪用されるか
悪用にはネットワーク越しの接続と、管理コンソールの低権限アカウントが要ります。攻撃の複雑さは低い一方で、ほかの利用者の操作が必要です。認証が不要な脆弱性ではないため、アカウントを持たない外部の第三者がすぐに悪用できるわけではありません。
成立した場合、機密性・完全性・可用性への影響はいずれも高いと評価されています。管理コンソールで扱う設定や端末の情報が読まれたり、書き換えられたりする事態を想定しておくべきです。具体的な被害の範囲は、Dellの告知で確認してください。
今すぐやること
-
1
版を確認する
管理コンソールで、運用中のWyse Management Suiteの版が2609.0.0.155より前かどうかを確かめます。
-
2
修正版に更新する
オンプレミス環境は、修正版に更新します。更新前に、テスト環境か設定のバックアップで手順を確認しておくと安全です。クラウド版は、Dellの告知で対応状況を確認します。
-
3
低権限アカウントを棚卸しする
悪用の入口は低権限のアカウントです。退職者や異動者のアカウント、使っていない委任管理者のアカウントを無効にします。
-
4
コンソールの操作記録を見る
公表されたばかりの脆弱性ですが、更新後に、身に覚えのない設定変更やアカウント追加、ポリシー変更がないかを管理コンソールのログで確認します。
すぐ更新できないとき
すぐに更新できないときは、管理コンソールへの接続元を社内ネットワークやVPNに限り、不要なアカウントを減らします。ただし脆弱性そのものは残るので、あくまで更新までのつなぎです。
背景
Dell Wyse Management Suiteは、Wyseのシンクライアントを遠隔で管理するコンソールです。端末の設定、アプリの配布、ファームウェアの更新、グループ単位のポリシー適用を一か所で行うため、コンソールに問題があると、配下の多数の端末の運用にまとめて響きます。
クロスサイトスクリプティングは、画面に出す文字列の無害化が不十分なときに、仕込まれたスクリプトが閲覧者のブラウザー上で動く種類の脆弱性です。スクリプトは閲覧者の権限で動くため、管理者が開く管理コンソールでは影響が大きくなります。今回、低権限のアカウントで足りるのに点数が9.0まで上がったのは、このためとみられます。
よくある質問
Q.クラウド版のWyse Management Suiteも更新が必要ですか。
Q.同じ更新で、ほかの脆弱性にも対応していますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Dell | Wyse Management Suite |
2609.0.0.155 未満 |
2609.0.0.155 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Dell Wyse Management Suite, versions prior to 2609.0.0.155, contain an Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Script injection.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security_alert@emc.com
- web nvd.nist.gov
- web github.com