Перейти к основному содержимому
  • Простое и быстрое размещение заказов
  • Просмотр заказов и отслеживание состояния доставки
  • Создание списка продуктов и доступ к нему
  • Управление узлами, продуктами и контактами уровня продуктов Dell EMC с помощью Company Administration.

Номер статьи: 000147397


DSA-2019-051: Dell SupportAssist Client Multiple Vulnerabilities

Сводка: Dell SupportAssist Client has been updated to address multiple vulnerabilities which may be potentially exploited to compromise the system.

Содержание статьи


Влияние

High

Подробные сведения

Improper Origin Validation (CVE-2019-3718)

 

Dell SupportAssist Client versions prior to 3.2.0.90 contain an improper origin validation vulnerability.    An unauthenticated remote attacker could potentially exploit this vulnerability to attempt CSRF attacks on users of the impacted systems.

CVSSv3 Base Score: 7.6 (AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H)

 

Remote Code Execution Vulnerability (CVE-2019-3719)

 

Dell SupportAssist Client versions prior to 3.2.0.90 contain a remote code execution vulnerability. An unauthenticated attacker, sharing the network access layer with the vulnerable system, can compromise the vulnerable system by tricking a victim user into downloading and executing arbitrary executables via SupportAssist client from attacker hosted sites.

CVSSv3 Base Score: 7.1 (AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)

Improper Origin Validation (CVE-2019-3718)

 

Dell SupportAssist Client versions prior to 3.2.0.90 contain an improper origin validation vulnerability.    An unauthenticated remote attacker could potentially exploit this vulnerability to attempt CSRF attacks on users of the impacted systems.

CVSSv3 Base Score: 7.6 (AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H)

 

Remote Code Execution Vulnerability (CVE-2019-3719)

 

Dell SupportAssist Client versions prior to 3.2.0.90 contain a remote code execution vulnerability. An unauthenticated attacker, sharing the network access layer with the vulnerable system, can compromise the vulnerable system by tricking a victim user into downloading and executing arbitrary executables via SupportAssist client from attacker hosted sites.

CVSSv3 Base Score: 7.1 (AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)

Dell рекомендует всем клиентам учитывать как базовую оценку CVSS, так и любые временные и обусловленные средой оценки, которые могут повлиять на потенциальную степень серьезности конкретной уязвимости.

Затронутые продукты и исправление

Affected products:

Dell SupportAssist Client versions prior to 3.2.0.90.


Remediation:
The following Dell SupportAssist Client release contains resolutions to these vulnerabilities:

  • Dell SupportAssist Client version 3.2.0.90 and later.

Dell recommends all customers upgrade at the earliest opportunity.

Customers can download software from https://downloads.dell.com/serviceability/Catalog/SupportAssistInstaller.exe.

Affected products:

Dell SupportAssist Client versions prior to 3.2.0.90.


Remediation:
The following Dell SupportAssist Client release contains resolutions to these vulnerabilities:

  • Dell SupportAssist Client version 3.2.0.90 and later.

Dell recommends all customers upgrade at the earliest opportunity.

Customers can download software from https://downloads.dell.com/serviceability/Catalog/SupportAssistInstaller.exe.

Сведения об авторе и авторских правах

Dell would like to thank John C. Hennessy-ReCar for reporting CVE-2019-3718 and Bill Demirkapi for reporting CVE-2019-3719.

 

Связанная информация

Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide


Следует ознакомиться с информацией, содержащейся в данной рекомендации Dell Technologies по безопасности, чтобы избежать ситуаций, которые могут возникнуть вследствие описанных проблем. Dell Technologies распространяет рекомендации по безопасности, чтобы привлечь внимание пользователей соответствующих продуктов к важным сведениям о безопасности. Dell Technologies оценивает риск, основываясь на средних рисках, связанных с различными наборами установленных систем, который может не соответствовать реальному риску для вашей локальной установки и индивидуальной среды. Рекомендуется, чтобы все пользователи определяли применимость этой информации к своим индивидуальным средам и принимали соответствующие меры. Информация в настоящем документе предоставляется на условиях «как есть» без каких-либо гарантий. Dell Technologies отказывается от всех явных и подразумеваемых гарантий, в том числе от гарантий товарной пригодности, пригодности для конкретной цели и ненарушения прав. Ни при каких условиях корпорация Dell Technologies, ее филиалы или поставщики не несут ответственности за любые убытки, возникшие в связи с информацией, содержащейся в настоящем документе, или действия, которые вы решили выполнить по этой причине, включая любые прямые, непрямые, случайные, косвенные убытки, потери предпринимательской прибыли или особые убытки, даже если корпорация Dell Technologies, ее филиалы или поставщики были уведомлены о возможности таких убытков. В некоторых государствах не допускается исключения или ограничения ответственности за косвенный или непредвиденный ущерб, поэтому вышеупомянутое ограничение действует в пределах, допустимых в соответствии с законодательством.

Свойства статьи


Затронутый продукт

SupportAssist for Home PCs, SupportAssist for Business PCs

Дата последней публикации

21 февр. 2021

Версия

4

Тип статьи

Dell Security Advisory