Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Dell Secure Connect Gateway (SCG) Policy Manager zijn rechten voor een belangrijk onderdeel niet goed ingesteld. Een aanvaller met lokale toegang en beperkte rechten kan daardoor mogelijk meer rechten krijgen dan de bedoeling is. Dell heeft hiervoor een beveiligingsupdate uitgebracht.
Wie loopt risico?
Je loopt risico als je Dell Secure Connect Gateway Policy Manager gebruikt in een versie die nog niet is bijgewerkt. Een aanvaller heeft al toegang tot het systeem nodig, bijvoorbeeld met een gewoon gebruikersaccount, want misbruik op afstand is niet mogelijk. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt en er is geen publieke exploit bekend.
Wat moet je doen?
Lees het advies van Dell
Open het beveiligingsadvies van Dell (DSA-2026-385) en controleer welke versie van Policy Manager jij gebruikt en welke versie is opgelost.
Installeer de update
Werk Dell Secure Connect Gateway Policy Manager bij naar de opgeloste versie die Dell in het advies noemt.
Beperk lokale toegang
Geef alleen mensen die het echt nodig hebben een account op de server waar Policy Manager draait. Zo beperk je het risico zolang je nog niet hebt bijgewerkt.
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste toewijzing van rechten aan een kritieke bron (CWE-732) in Dell Secure Connect Gateway Policy Manager. Een lokale aanvaller met lage rechten kan dit misbruiken om zijn rechten te verhogen. Volgens de CVSS-vector (3.1) is de aanvalscomplexiteit hoog, is er geen gebruikersinteractie nodig en verandert de reikwijdte van de aanval (scope changed). De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog. De gegevens noemen niet precies welke bron of welk bestand onjuiste rechten heeft.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-732 · Onjuiste toewijzing van rechten aan een kritieke bron
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee