Dell пусна корекции за сигурност за пет уязвимости в Dell System Update (DSU), включително критичен дефект, който би могъл да позволи на неавтентифициран отдалечен атакуващ да изпълни код с привилегии на root. Проблемите засягат версии преди 2.3.0.0, като Dell призовава клиентите да актуализират при първа възможност.

Компанията публикува бюлетин за сигурност DSA-2026-324 на 1 октомври 2026 г. DSU е инструмент с команден ред, който помага на администраторите да внедряват BIOS, фърмуер и софтуерни обновления за сървъри Dell PowerEdge с Linux и Windows, което прави неговата сигурност от съществено значение за управлението на корпоративни сървъри.

Критична уязвимост от тип Path Traversal

Най-сериозният проблем, CVE-2026-86360, е с CVSS оценка 9.6. Dell го идентифицира като уязвимост от тип path traversal (преминаване през директории), което означава, че инструментът не успява да ограничи достъпа до файлове в рамките на предвидената директория. Атакуващ с отдалечен достъп би могъл да експлоатира слабостта, без първо да се вписва в засегнатата система.

Dell предупреждава, че експлоатацията може да осигури достъп до файловата система и да позволи изпълнение на произволен код с права на root. Успешните атаки биха могли напълно да компрометират както DSU, така и базовата операционна система. Публикуваният CVSS вектор обаче посочва, че се изисква потребителско взаимодействие — важна детайлност, която разграничава неавтентифицирания достъп от атака, която не изисква никакво участие на потребителя.

Dell отдава заслуженото на изследователя Ори Габриел за съобщаването на тази критична уязвимост и отделния проблем с валидирането на сертификати. Бюлетинът не описва точното потребителско действие, което се изисква, уязвимите файлови пътища или пълната последователност на атаката. Тези ограничения са важни: предупреждението установява сериозен риск, но не предоставя достатъчно подробности за възстановяване на пълния вектор за експлоатация.

Четири допълнителни дефекта в сигурността

Още две уязвимости биха могли да позволят на локални потребители с ограничени разрешения да получат по-високи привилегии. CVE-2026-86361 е свързана с неправилни разрешения, определени за критичен ресурс, докато CVE-2026-86362 произтича от неправилен контрол на достъпа. И двете са с CVSS оценка 8.2 и изискват локален достъп, за разлика от критичната отдалечена path traversal уязвимост.

CVE-2026-63697, оценена на 7.6, включва неправилно валидиране на сертификат. От Dell заявяват, че отдалечен атакуващ, който вече притежава високи привилегии, би могъл да я експлоатира за постигане на отдалечено изпълнение. CVE-2026-71168, оценена на 7.3, е друга уязвимост от тип path traversal. Нейната посочена предпоставка е локален достъп с ниски привилегии, въпреки че Dell описва потенциалния ѝ резултат като отдалечено изпълнение.

Dell посочва версия 2.3.0.0 или по-нова на DSU като коригиращо решение за всички пет уязвимости. Администраторите трябва да идентифицират инсталациите под тази версия и да получат коригираното издание чрез официалното изтегляне от Dell, препратено в бюлетина. Инсталирането на по-ранно издание на DSU не отговаря на посоченото от Dell изискване за отстраняване на уязвимостта.

Разкриването следва отделни критични уязвимости в Dell Container Storage, отразени от Cyber Security News, което подчертава друг приоритет за обновяване в среди с оборудване на Dell. Тези дефекти засягат различен продукт и изискват отделно отстраняване. Към публикуването на 5 октомври Dell не е отбелязала уязвимостите в DSU като активно експлоатирани, но клиентите не трябва да отлагат инсталирането на корекции за сигурност.