リモートホストにインストールされている Dell Wyse Management Suite のバージョンは、3.8より前です。したがって、DSA-2022-134 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Wyse Management Suite 3.7以前には、機密データ漏洩の脆弱性が含まれています。権限の弱い悪意のあるユーザーがこの脆弱性を悪用して、認証情報を取得する可能性があります。攻撃者が公開された認証情報を使用して、ターゲットデバイスにアクセスし、認証されていないアクションを実行する可能性があります。
    (CVE-2022-29090)

  - Wyse Management Suite 3.7以前には、不適切なアクセスコントロールの脆弱性が含まれており、ルールを作るアクセス権のない攻撃者が、この脆弱性を悪用してルールを作成する可能性があります。攻撃者はルールを実行するスケジュールを作成する可能性があります。(CVE-2022-33924)

  - Wyse Management Suite 3.7以前には、UI に不適切なアクセスコントロールの脆弱性が含まれています。認証されたリモート攻撃者が、この脆弱性を悪用し、機密情報を含むレポートをダウンロードするためにアクセスコントロールをバイパスする可能性があります。(CVE-2022-33925)

  - Wyse Management Suite 3.7以前には、不適切なアクセスコントロールの脆弱性が含まれています。リモートの悪意のあるユーザーがこの脆弱性を悪用して、ファイルリポジトリが取り消された後にアクセスを保持する可能性があります。(CVE-2022-33926)

  - Wyse Management Suite 3.7以前には、セッション固定の脆弱性が含まれています。認証されていない攻撃者がこれを悪用し、複数のアクティブなセッションを持つユーザーを利用してユーザーのセッションをハイジャックする可能性があります。(CVE-2022-33927)

  - Wyse Management Suite 3.7以前には、UI に平文パスワードの保存の脆弱性があります。権限の弱い攻撃者がこの脆弱性を悪用して、特定のユーザーの認証情報を漏洩させる可能性があります。攻撃者は公開された認証情報を使用して、侵害されたアカウントの権限で脆弱なアプリケーションにアクセスできる可能性があります。(CVE-2022-33928)

  - Wyse Management Suite 3.7以前には、EndUserSummary ページに折り返し型クロスサイトスクリプティングの脆弱性があります。認証された攻撃者がこの脆弱性を悪用して、脆弱なウェブアプリケーションのコンテキストにおいて、被害者のユーザーのウェブブラウザで悪意のある HTML または JavaScript コードを実行する可能性があります。悪用により、情報漏洩、セッションの盗難、クライアント側のリクエスト偽造が発生する可能性があります。(CVE-2022-33929)

  - Wyse Management Suite 3.7以前では、デバイスのエラーページの情報漏洩が含まれています。攻撃者がこの脆弱性を悪用して、特定機密情報を漏洩させる可能性があります。
    攻撃者は漏洩した情報を利用して、アクセスやさらなる脆弱性のリサーチを行う可能性があります。
    (CVE-2022-33930)

  - Wyse Management Suite 3.7以前には、UI に不適切なアクセスコントロールの脆弱性が含まれています。Alert Classification ページにアクセスできない攻撃者がこの脆弱性を悪用して、アラートカテゴリを変更する可能性があります。(CVE-2022-33931)

  - Wyse Management Suite 3.7には、Device API のパストラバーサルの脆弱性が含まれています。攻撃者はこの脆弱性を悪用して、実行中のウェブアプリケーションの権限で、サーバーファイルシステムに保存されているファイルに対して、認証されずに読み取りアクセス権を取得する可能性があります。(CVE-2022-34365)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Dell Wyse Management Suite < 3.8の複数の脆弱性 (DSA-2022-134)

high Nessus プラグイン ID 163271

バージョン 1.6