Dell Wyse Management Suite < 4.0 多个漏洞 (DSA-2022-329)
high Nessus 插件 ID 168926
语言：
简介
本地主机上安装的 Dell Wyse Management Suite 受到多个漏洞影响。描述
远程主机上安装的 Dell Wyse Management Suite 版本低于 4.0。因此，它受到 DSA-2022-329 公告中提及的多个漏洞影响。- 2.0.17 之前的 Cure53 DOMPurify 易受突变 XSS 的影响。之所以发生这种情况，是因为序列化解析往返不一定会返回原始 DOM 树， 并且命名空间可从 HTML 更改为 MathML，这一点已由 FORM 元素的嵌套证实。(CVE-2020-26870)
- 程序包 com.google.code.gson： 2.8.9 之前的 gson 容易受到通过内部类中的 writeReplace() 方法造成的不可信数据反序列化的影响，这可能导致 DoS 攻击。(CVE-2022-25647)
- 处理恶意 XSLT 样式表时，Apache Xalan Java XSLT 库容易受到整数截断问题的影响。攻击者可借此损坏内部 XSLTC 编译器生成的 Java 类文件并执行任意 Java 字节码。Apache Xalan Java 项目处于休眠状态，即将淘汰。预计未来不会有 Apache Xalan Java 版本来解决此问题。注意：Java 运行时（如 OpenJDK）包含重新打包的 Xalan 副本。(CVE-2022-34169)
- Wyse Management Suite Repository 3.8 及更早版本在错误页面中包含一个信息泄露漏洞，攻击者可能利用此漏洞发现应用程序的内部结构及其组件，并将此信息用于进一步的漏洞研究。(CVE-2022-46675)
- Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。恶意的管理员用户可能会禁用或删除受管理的用户和未分配的管理员，但群组管理员并未获得相关授权。(CVE-2022-46676)
- Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过认证的恶意管理员用户可能会在管理未获授权的群组下创建子群组。(CVE-2022-46677)
- Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过认证的恶意管理员用户可能会编辑用户无权编辑的一般客户端策略。
（CVE-2022-46678、CVE-2022-46755）
- Wyse Management Suite 3.8 及更早版本包含不当访问控制漏洞。经过身份验证的恶意管理员用户可能会访问此管理员无权访问的某些 Pro 许可证功能，以配置用户控制的外部实体。(CVE-2022-46754)
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级到 Dell Wyse Management Suite 4.0 或更高版本。另见
插件详情
严重性: High
ID: 168926
文件名: dell_wyse_management_suite_dsa-2022-329_4_0.nasl
版本: 1.3
类型: local
代理: windows
系列: Windows
发布时间: 2022/12/19
最近更新时间: 2023/9/12
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.6
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2020-26870
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
CVSS 分数来源: CVE-2022-34169
漏洞信息
CPE: cpe:/a:dell:wyse_management_suite
必需的 KB 项: installed_sw/Dell Wyse Management Suite
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/12/19
漏洞发布日期: 2020/10/7
参考资料信息
CVE: CVE-2020-26870, CVE-2022-25647, CVE-2022-34169, CVE-2022-46675, CVE-2022-46676, CVE-2022-46677, CVE-2022-46678, CVE-2022-46754, CVE-2022-46755