Data Domain Management Centerに脆弱性、修正版あり
Dell PowerProtect Data Domain Management Centerに、低い権限のアカウントから高い権限へ昇格できる脆弱性が見つかりました。管理下の Data Domain にも影響が及ぶおそれがあるため、バックアップ基盤でこの製品を使っている組織は、版を確認して修正版に更新してください。
急ぎ度: 早めに
CVSS v3は9.1で深刻度はcritical、ネットワーク越しに低い権限だけで狙える一方、悪用が確認されたとの情報は見当たらず、修正版がすでに出ています。
関係があるか
Data Domainを複数台構成で運用し、Management Centerで一括管理している組織が対象です。管理画面に低い権限でもログインできるアカウントがある環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| PowerProtect Data Domain Management Center（Feature Release） | 7.7.1.0から8.8まで | 8.9.0.0以降 |
| PowerProtect Data Domain Management Center（LTS2024） | 7.13.1.0から7.13.1.80まで | 7.13.1.90以降 |
| PowerProtect Data Domain Management Center（LTS2025） | 8.3.1.0から8.3.1.40まで | 8.3.1.50以降 |
| PowerProtect Data Domain Management Center（LTS2026） | 8.6.1.0から8.6.1.20まで | 8.6.1.30以降 |
確かめ方
- 1Management Centerの管理画面、または構成管理台帳で、稼働中の版を確認します。
- 2版がFeature ReleaseかLTS2024、LTS2025、LTS2026のどの系列かを確かめ、上の表の影響範囲に入るかを照らし合わせます。
- 3Management Centerに登録しているData Domainの台数と、管理画面にログインできるアカウントの一覧も、あわせて把握しておきます。
何が起きたか
Dell PowerProtect Data Domain Management Centerに、認証の仕組みを突破されて権限を引き上げられる脆弱性が見つかりました。低い権限しか持たない攻撃者が、より高い権限を得られる可能性があります。
分類はCWE-290で、なりすましによる認証回避にあたります。CVSS v3のベクターでは、影響の大きさは機密性が低、完全性が高、可用性が低です。影響範囲が変わる（スコープが変更される）と評価されており、Management Centerだけでなく、管理下のData Domainにも影響が及ぶおそれがあるとDellは説明しています。
この脆弱性は、DellのセキュリティアドバイザリDSA-2026-416に、複数の脆弱性の1件として掲載されています。
攻撃の流れ
-
1
低権限で到達
Management Centerにネットワーク経由で届き、低い権限のアカウントを持っている状態から始まります。
-
2
認証をなりすまし
認証の確認をすり抜けるなりすましが成立すると、本来のアクセス権の制限が効かなくなります。
-
3
権限が昇格
低い権限だったアカウントが、より高い権限で操作できるようになります。
-
4
管理下へ波及
Management Centerが管理しているData Domainにも影響が及ぶ可能性があります。
どう悪用されるか
悪用にはログインできる低い権限のアカウントが必要です。ただし、必要なのはその程度で、利用者の操作は要りません。攻撃元はネットワーク越しでよく、特別な条件を整える必要もないと評価されています。
被害として大きいのは完全性への影響です。権限が引き上げられると、本来許されていない設定変更などを行われるおそれがあります。管理下にあるData Domainにも影響が及び得るため、被害がManagement Center 1台にとどまるとは限りません。
今すぐやること
-
1
稼働中の版を確認する
影響を受ける版かどうかを、系列ごとに確認します。Management Centerが複数ある場合は、すべての版を洗い出します。
-
2
修正版に更新する
使っている系列に合った修正版へ更新します。更新手順と前提条件は、DellのDSA-2026-416で確認してください。更新前に、Management Centerの設定のバックアップを取っておくと安心です。
-
3
低権限アカウントを棚卸しする
この脆弱性は低い権限のアカウントが足がかりになります。使われていないアカウントや、共有されているアカウントを整理し、不要なものは無効にします。
-
4
更新前後のログを見返す
更新までの期間に、身に覚えのない権限変更や設定変更がないかを、Management Centerの操作ログで確認します。
すぐ更新できないとき
すぐに更新できないときは、Management Centerの管理画面に届くネットワークを、管理用の端末や管理用セグメントだけに絞ります。あわせて、低い権限のアカウントを減らします。いずれも被害を受ける機会を減らす措置であり、脆弱性そのものはなくなりません。
背景
Data Domainは、企業のバックアップを受け止める重複排除型のストレージ装置です。Management Centerは、複数台のData Domainを1か所から監視し、設定する管理用の製品で、運用担当者が日常的にログインします。
バックアップ基盤はランサムウェアの被害時に最後の復旧手段になるため、管理機能への不正アクセスが成立すると影響が大きくなりがちです。この脆弱性も、一括管理の入口であるManagement Centerに見つかり、管理下の装置に影響が及び得る点が特徴です。
よくある質問
Q.Data Domain本体の更新も必要ですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかは、現時点で確認できていません。Dellの告知や今後の続報で確認してください。
- 認証回避が成立する具体的な条件や、攻撃を受けた痕跡の見つけ方、更新以外の公式な回避策は、示されていません。
- 管理下のData Domainへの影響が具体的にどの範囲に及ぶかは、分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Dell | PowerProtect Data Domain Management Center |
8.9.0.0 or later 未満 7.13.1.90 or later 未満 8.3.1.50 or later 未満 8.6.1.30 or later 未満 |
8.9.0.0 or later 7.13.1.90 or later 8.3.1.50 or later 8.6.1.30 or later |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Dell PowerProtect Data Domain Management Center, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.13.1.80, LTS2025 release versions 8.3.1.0 through 8.3.1.40, LTS2026 release versions 8.6.1.0 through 8.6.1.20, contain an Authentication Bypass by Spoofing vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Elevation of privileges. This vulnerability could impact other managed Data Domain systems.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security_alert@emc.com
- web nvd.nist.gov
- web github.com