PowerProtect Data Domainで認証情報漏えい、修正版あり
Dellのバックアップ用ストレージ PowerProtect Data Domainに、認証情報が外部に漏れる脆弱性が見つかり、全系統で修正版が出ています。Data Domainをバックアップ基盤に使っている組織が対象です。自社の版を確認し、該当すれば修正版への更新を計画に組み込んでください。
急ぎ度: 早めに
CVSS v3が9.8と高く、Feature ReleaseとLTSの全系統で修正版が出ているため、通常の更新周期を待たずに前倒しで当てる段階です。
関係があるか
PowerProtect Data Domainをバックアップやアーカイブの保存先にしている組織が対象です。Feature ReleaseのほかLTS2024、LTS2025、LTS2026のいずれの系統でも、修正版より前の版は影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| PowerProtect Data Domain（Feature Release） | 7.7.1.0〜8.8 | 8.9.0.0以降 |
| PowerProtect Data Domain（LTS2024） | 7.13.1.0〜7.13.1.80 | 7.13.1.90以降 |
| PowerProtect Data Domain（LTS2025） | 8.3.1.0〜8.3.1.40 | 8.3.1.50以降 |
| PowerProtect Data Domain（LTS2026） | 8.6.1.0〜8.6.1.20 | 8.6.1.30以降 |
確かめ方
- 1Data DomainのCLIで
system show versionを実行し、DD OSの版を控えます。 - 2控えた版を、Dellの告知（DSA-2026-416）に載っている系統ごとの影響範囲と突き合わせます。LTS系列を使っている場合は、同じ系列の修正版が更新先になります。
- 3複数台を運用している組織は、台ごとに版が違うことがあるため、全台を一覧にして確認します。レプリケーション先や検証用の機器も忘れずに含めてください。
何が起きたか
Dellのバックアップ用ストレージPowerProtect Data Domainに、認証情報が外部に漏れる脆弱性が見つかりました。漏れた認証情報は、本来のユーザーの権限でシステムにアクセスするために使われるおそれがあります。
原因は、製品の中に固定で埋め込まれた暗号鍵（CWE-321）です。CVSS v3は9.8で、重大度はcriticalと評価されています。
Dellは2026年10月28日に、Data Domainの複数の脆弱性をまとめた告知（DSA-2026-416）で、この問題と修正版を案内しました。
攻撃の流れ
-
1
到達できる位置
攻撃者が、Data Domainにネットワーク経由で通信できる位置にいます。
-
2
固定鍵の問題
製品に固定で埋め込まれた暗号鍵の扱いが、脆弱性の原因になります。
-
3
認証情報の漏えい
ユーザーの認証情報が攻撃者の手に渡ります。
-
4
正規ユーザーで侵入
漏れた認証情報の持ち主と同じ権限で、システムにアクセスされます。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由で機器に通信できる攻撃者が、利用者の操作を待たずに仕掛けられます。攻撃の難しさは低いと評価されており、CVSSの評価項目でもこれらの条件がそのまま反映されています。
成功すると、認証情報が漏れ、その持ち主の権限でシステムに入られます。CVSSでは機密性・完全性・可用性のすべてが高い影響と評価されています。どこまで被害が及ぶかは、漏れた認証情報がどの権限のものかで変わります。
今すぐやること
-
1
稼働中の版を洗い出す
運用中のData Domainすべてについて、DD OSの版を確認します。検証機やレプリケーション先も対象です。
system show version -
2
修正版へ更新する
使っている系統に対応する修正版に更新します。Dellが示した更新手順と、バックアップジョブの停止可否を事前に確認し、保守時間を前倒しで確保してください。
-
3
到達できる範囲を確認する
Data Domainに通信できる端末やネットワークを洗い出します。バックアップサーバーと管理端末以外から届く経路があれば、更新と並行して絞ります。
-
4
更新後に認証ログを見直す
更新の前後で、見覚えのないログインや、通常と違う時間帯のアクセスがないかを確認します。不審な記録があれば、認証情報の変更も検討してください。
すぐ更新できないとき
修正版をすぐに当てられないときは、Data Domainへアクセスできる送信元を、バックアップサーバーと管理用の端末に限ります。ファイアウォールやネットワーク分離で到達範囲を狭める一般的な措置で、脆弱性そのものをふさぐものではありません。更新までの間のリスクを下げる位置づけです。
背景
Data Domainは、重複排除の機能を備えたバックアップ専用のストレージです。サーバーや業務データの複製が集まるため、ここに入られると、本番環境が無事でも復旧の手段を失いかねません。ランサムウェアの攻撃者がバックアップを先に狙うことは広く知られており、バックアップ基盤の認証情報は、守るべき対象として重く扱われています。
今回の原因である固定の暗号鍵は、同じ版であれば、どの機器にも同じ鍵が入っていることを意味します。1台で問題になれば、同じ版を使うほかの組織の機器にも当てはまりやすく、台数が多い組織では更新漏れが残りがちです。
よくある質問
Q.インターネットに公開していなければ、急がなくてもよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。Dellの告知や、各国のセキュリティ機関の発表を確認してください。
- 漏れる認証情報の種類や範囲、漏れた後にどの操作まで可能になるかといった詳しい内容は、公表されていません。ベンダーが示した回避策も、いまのところ確認できていません。
- 同じ告知に含まれるほかの脆弱性が、同じ修正版で解消されるのかは分かっていません。更新前に、告知の全体を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Dell | PowerProtect Data Domain |
8.9.0.0 or later 未満 7.13.1.90 or later 未満 8.3.1.50 or later 未満 8.6.1.30 or later 未満 |
8.9.0.0 or later 7.13.1.90 or later 8.3.1.50 or later 8.6.1.30 or later |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Dell PowerProtect Data Domain, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.13.1.80, LTS2025 release versions 8.3.1.0 through 8.3.1.40, LTS2026 release versions 8.6.1.0 through 8.6.1.20, contain an Use of Hard-coded Cryptographic Key vulnerability. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to credential exposure. The credentials may be used to access the system with privileges of the compromised user.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security_alert@emc.com
- web nvd.nist.gov
- web github.com