The version of Dell Wyse Management Suite installed on the remote host is prior to 4.0. It is, therefore, affected by multiple vulnerabilities as referenced in the DSA-2022-329 advisory.

  - Cure53 DOMPurify before 2.0.17 allows mutation XSS. This occurs because a serialize-parse roundtrip does     not necessarily return the original DOM tree, and a namespace can change from HTML to MathML, as     demonstrated by nesting of FORM elements. (CVE-2020-26870)

  - The package com.google.code.gson:gson before 2.8.9 are vulnerable to Deserialization of Untrusted Data via     the writeReplace() method in internal classes, which may lead to DoS attacks. (CVE-2022-25647)

  - The Apache Xalan Java XSLT library is vulnerable to an integer truncation issue when processing malicious     XSLT stylesheets. This can be used to corrupt Java class files generated by the internal XSLTC compiler     and execute arbitrary Java bytecode. The Apache Xalan Java project is dormant and in the process of being     retired. No future releases of Apache Xalan Java to address this issue are expected. Note: Java runtimes     (such as OpenJDK) include repackaged copies of Xalan. (CVE-2022-34169)

  - Wyse Management Suite Repository 3.8 and earlier contain an information disclosure vulnerability in error     pages with which an attacker may potentially discover the internal structure of the application and its     components and use this information for further vulnerability research. (CVE-2022-46675)

  - Wyse Management Suite 3.8 and earlier contain an improper access control vulnerability. A malicious admin     user may potentially disable or delete users under administration and unassigned admins for which the     group admin is not authorized. (CVE-2022-46676)

  - Wyse Management Suite 3.8 and earlier contain an improper access control vulnerability. An authenticated     malicious admin user may potentially create a subgroup under a group for which the admin is not     authorized. (CVE-2022-46677)

  - Wyse Management Suite 3.8 and earlier contain an improper access control vulnerability. An authenticated     malicious admin user may potentially edit general client policy for which the user is not authorized.
    (CVE-2022-46678, CVE-2022-46755)

  - Wyse Management Suite 3.8 and earlier contain an improper access control vulnerability. An authenticated     malicious admin user may potentially access certain pro license features for which this admin is not     authorized in order to configure user controlled external entities. (CVE-2022-46754)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Dell Wyse Management Suite のバージョンは、4.0より前です。したがって、DSA-2022-329 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.0.17 より前の Cure53 DOMPurify では、変異 XSS が可能です。これは、FORM 要素のネスト化で実証されているように、シリアライズパースのラウンドトリップが元の DOM ツリーを返すとは限らず、名前空間が HTML から MathML に変更される可能性があるために発生します。(CVE-2020-26870)

  - パッケージ com.google.code.gson:2.8.9 より前の gson は、内部クラスの writeReplace() メソッドを介した信頼できないデータの逆シリアル化に対して脆弱であり、DoS 攻撃が発生する可能性があります。(CVE-2022-25647)

  - Apache Xalan Java XSLT ライブラリは、悪意のある XSLT スタイルシートを処理する際に、整数切り捨ての問題に対して脆弱です。これは、内部 XSLTC コンパイラによって生成された Java クラスファイルを破損させ、任意の Java バイトコードを実行するために使用される可能性があります。Apache Xalan Java プロジェクトは休眠中であり、終了する予定です。この問題に対処する Apache Xalan Java の今後のリリースは期待されていません。注: Java ランタイム (OpenJDK など) には、Xalan の再パッケージされたコピーが含まれています。(CVE-2022-34169)

  - Wyse Management Suite Repository 3.8 以前には、エラーページに情報漏洩の脆弱性が含まれており、攻撃者がこれを利用して、アプリケーションとそのコンポーネントの内部構造を発見し、この情報をさらなる脆弱性調査に使用する可能性があります。(CVE-2022-46675)

  - Wyse Management Suite 3.8 以前には、不適切なアクセスコントロールの脆弱性が含まれています。悪意のある管理者ユーザーが、管理下のユーザーや、そのグループ管理者が権限を持たない未割当の管理者を無効にしたり削除したりする可能性があります。(CVE-2022-46676)

  - Wyse Management Suite 3.8 以前には、不適切なアクセスコントロールの脆弱性が含まれています。認証された悪意のある管理者ユーザーが、その管理者が権限を持たないグループの下にサブグループを作成する可能性があります。(CVE-2022-46677)

  - Wyse Management Suite 3.8 以前には、不適切なアクセスコントロールの脆弱性が含まれています。認証された悪意のある管理者ユーザーが、そのユーザーが権限を持たない一般的なクライアントポリシーを編集する可能性があります。
    (CVE-2022-46678, CVE-2022-46755)

  - Wyse Management Suite 3.8 以前には、不適切なアクセスコントロールの脆弱性が含まれています。認証された悪意のある管理者ユーザーが、ユーザー管理の外部エンティティを構成するために、この管理者が権限を持たない特定のプロライセンス機能にアクセスする可能性があります。(CVE-2022-46754)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Dell Wyse Management Suite 版本低於 4.0。因此，會受到 DSA-2022-329 公告中所提及的多個弱點影響。

  - 2.0.17 之前的 Cure53 DOMPurify 版本允許變動 XSS。發生此問題的原因是 serialize-parse 來回行程不一定會傳回原始 DOM 樹狀結構，且命名空間可從 HTML 變更為 MathML，表單元素的巢狀即為一例。(CVE-2020-26870)

  - 套件 com.google.code.gson: gson (2.8.9 之前版本) 很容易透過內部類別中的 writeReplace() 方法，受到不受信任資料的還原序列化影響，進而可能導致 DoS 攻擊。(CVE-2022-25647)

  - 處理惡意 XSLT 樣式表時，Apache Xalan Java XSLT 程式庫容易受到整數截斷問題影響。攻擊者可藉此損毀內部 XSLTC 編譯器產生的 Java 類別檔案，並執行任意 Java 位元組程式碼。Apache Xalan Java 專案處於休眠狀態，即將淘汰。預期未來不會有 Apache Xalan Java 版本解決此問題。注意：Java 執行階段 (例如 OpenJDK) 包含重新封裝的 Xalan 複本。(CVE-2022-34169)

  - Wyse Management Suite Repository 3.8 和更舊版本在錯誤頁面中包含一個資訊洩漏弱點，攻擊者可利用此弱點發現應用程式及其元件的內部結構，並利用此資訊進一步研究弱點。(CVE-2022-46675)

  - Wyse Management Suite 3.8 和更舊版本包含不當存取控制弱點。惡意的管理員使用者可能會停用或刪除群組管理員未經授權之管理下的使用者和未指派管理員。(CVE-2022-46676)

  - Wyse Management Suite 3.8 和更舊版本包含不當存取控制弱點。經驗證的惡意管理員使用者可能會在管理員未授權的群組下建立子群組。 (CVE-2022-46677)

  - Wyse Management Suite 3.8 和更舊版本包含不當存取控制弱點。經驗證的惡意管理員使用者可能會編輯使用者未授權的一般用戶端原則。
    (CVE-2022-46678, CVE-2022-46755)

  - Wyse Management Suite 3.8 和更舊版本包含不當存取控制弱點。經驗證的惡意管理員使用者可能會為了設定使用者控制的外部實體，而存取此未獲授權管理員的特定專業授權功能。(CVE-2022-46754)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Dell Wyse Management Suite 版本低于 4.0。因此，它受到 DSA-2022-329 公告中提及的多个漏洞影响。

  - 2.0.17 之前的 Cure53 DOMPurify 易受突变 XSS 的影响。之所以发生这种情况，是因为序列化解析往返不一定会返回原始 DOM 树， 并且命名空间可从 HTML 更改为 MathML，这一点已由 FORM 元素的嵌套证实。(CVE-2020-26870)

  - 程序包 com.google.code.gson： 2.8.9 之前的 gson 容易受到通过内部类中的 writeReplace() 方法造成的不可信数据反序列化的影响，这可能导致 DoS 攻击。(CVE-2022-25647)

  - 处理恶意 XSLT 样式表时，Apache Xalan Java XSLT 库容易受到整数截断问题的影响。攻击者可借此损坏内部 XSLTC 编译器生成的 Java 类文件并执行任意 Java 字节码。Apache Xalan Java 项目处于休眠状态，即将淘汰。预计未来不会有 Apache Xalan Java 版本来解决此问题。注意：Java 运行时（如 OpenJDK）包含重新打包的 Xalan 副本。(CVE-2022-34169)

  - Wyse Management Suite Repository 3.8 及更早版本在错误页面中包含一个信息泄露漏洞，攻击者可能利用此漏洞发现应用程序的内部结构及其组件，并将此信息用于进一步的漏洞研究。(CVE-2022-46675)

  - Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。恶意的管理员用户可能会禁用或删除受管理的用户和未分配的管理员，但群组管理员并未获得相关授权。(CVE-2022-46676)

  - Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过认证的恶意管理员用户可能会在管理未获授权的群组下创建子群组。(CVE-2022-46677)

  - Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过认证的恶意管理员用户可能会编辑用户无权编辑的一般客户端策略。
    （CVE-2022-46678、CVE-2022-46755）

  - Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过身份验证的恶意管理员用户可能会访问此管理员无权访问的某些 Pro 许可证功能，以配置用户控制的外部实体。(CVE-2022-46754)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
168926	Dell Wyse Management Suite < 4.0 Multiple Vulnerabilities (DSA-2022-329)	Nessus	Windows	2022/12/19	2023/9/12	high
168926	Dell Wyse Management Suite < 4.0の複数の脆弱性 (DSA-2022-329)	Nessus	Windows	2022/12/19	2023/9/12	high
168926	Dell Wyse Management Suite < 4.0 多個弱點（DSA-2022-329）	Nessus	Windows	2022/12/19	2023/9/12	high
168926	Dell Wyse Management Suite < 4.0 多个漏洞 (DSA-2022-329)	Nessus	Windows	2022/12/19	2023/9/12	high

検出

プラグインの検索

high

high

high

high