Dell Technologies đã công bố ba lỗ hổng CVE Dell Storage Manager nghiêm trọng, có khả năng cho phép những kẻ tấn công từ xa không cần xác thực xâm nhập hoàn toàn các hệ thống lưu trữ. Các phiên bản Dell Storage Manager trước 2020 R1.21 và 20.1.20 bị ảnh hưởng, mở ra nguy cơ bỏ qua cơ chế xác thực và chiếm quyền truy cập hệ thống.

Phân tích kỹ thuật các lỗ hổng trong Dell Storage Manager

Các lỗ hổng này, được công bố vào ngày 24 tháng 10 năm 2025 thông qua cảnh báo bảo mật của Dell, đặt ra mối đe dọa ngay lập tức cho các tổ chức sử dụng hạ tầng Dell Storage Center.

CVE-2025-43995: Lỗ hổng bỏ qua xác thực nghiêm trọng (CVSS 9.8)

Đây là lỗ hổng nghiêm trọng nhất với điểm CVSS cơ bản là 9.8. Nó đại diện cho một lỗ hổng có thể khai thác qua mạng mà không yêu cầu điều kiện tiên quyết nào để thực hiện tấn công.

• Loại lỗ hổng: Xác thực không đúng cách (Improper Authentication).
• Phiên bản bị ảnh hưởng: Dell Storage Manager phiên bản 20.1.21.
• Cơ chế khai thác: Kẻ tấn công không cần xác thực có thể bỏ qua các cơ chế bảo vệ thông qua thành phần DataCollectorEar.ear. Lỗ hổng này khai thác các API được cung cấp bởi ApiProxy.war, có thể được truy cập bằng cách sử dụng các tham số SessionKey và UserId được tạo đặc biệt.
• Tác động: Kẻ tấn công giành quyền truy cập không giới hạn vào các chức năng quản lý lưu trữ, có khả năng làm lộ dữ liệu nhạy cảm, sửa đổi cấu hình hoặc phá vỡ các hoạt động lưu trữ quan trọng.

CVE-2025-43994: Lỗ hổng thiếu xác thực (CVSS 8.6)

Lỗ hổng này cũng yêu cầu sự chú ý ngay lập tức với điểm CVSS là 8.6. Đây là một cảnh báo CVE quan trọng cần được khắc phục.

• Loại lỗ hổng: Thiếu xác thực (Missing Authentication).
• Phiên bản bị ảnh hưởng: Dell Storage Manager phiên bản 20.1.21.
• Cơ chế khai thác: Cho phép những kẻ tấn công từ xa không cần xác thực truy cập các chức năng quan trọng mà đáng lẽ phải yêu cầu xác thực.
• Tác động: Dẫn đến tiết lộ thông tin (information disclosure), nghĩa là kẻ tấn công có thể truy xuất dữ liệu nhạy cảm về cấu hình lưu trữ, tài khoản người dùng và cấu trúc hệ thống mà không cần cung cấp thông tin đăng nhập hợp lệ.

Tác động kết hợp của các lỗ hổng xác thực

Sự kết hợp của hai lỗ hổng liên quan đến xác thực này tạo ra một kịch bản đặc biệt nguy hiểm. Kẻ tấn công có thể vừa khám phá vừa khai thác các thành phần hệ thống của lỗ hổng CVE Dell Storage Manager.

CVE-2025-46425: Lỗ hổng XML External Entity (XXE) (CVSS 6.5)

Bổ sung cho các lỗ hổng bỏ qua xác thực, CVE-2025-46425 là một lỗ hổng XXE với điểm CVSS là 6.5.

• Loại lỗ hổng: Hạn chế tham chiếu thực thể XML bên ngoài không đúng cách (Improper Restriction of XML External Entity References).
• Phiên bản bị ảnh hưởng: Dell Storage Manager phiên bản 20.1.20.
• Yêu cầu khai thác: Lỗ hổng này yêu cầu đặc quyền cấp thấp nhưng có thể được tận dụng trong một cuộc tấn công nhiều giai đoạn.
• Tác động: Cho phép kẻ tấn công thực hiện các cuộc tấn công truy cập trái phép, có khả năng đọc các tệp nhạy cảm từ hệ thống lưu trữ hoặc thực hiện di chuyển ngang trong hạ tầng.

Mặc dù lỗ hổng này yêu cầu một mức độ xác thực nhất định, nhưng nó trở nên dễ dàng khai thác một khi kẻ tấn công đã bỏ qua các lỗ hổng xác thực khác trong cùng phần mềm.

Biện pháp khắc phục và khuyến nghị

Dell Technologies khuyến nghị mạnh mẽ tất cả khách hàng nâng cấp lên Dell Storage Manager phiên bản 2020 R1.22 hoặc cao hơn để khắc phục các lỗ hổng CVE Dell Storage Manager này.

Cập nhật bản vá bảo mật khẩn cấp

Việc khắc phục giải quyết cả ba CVE và cần được ưu tiên ngay lập tức, xét theo tính chất nghiêm trọng của các lỗ hổng này. Các tổ chức đang chạy Dell Storage Manager nên đánh giá các phiên bản hiện tại của họ so với danh sách sản phẩm bị ảnh hưởng và áp dụng các bản cập nhật không chậm trễ. Đây là một bản vá bảo mật tối quan trọng.

Tầm quan trọng của việc cập nhật để giảm thiểu rủi ro

Bề mặt tấn công đặc biệt đáng lo ngại vì các lỗ hổng này cho phép khai thác từ xa từ mạng mà không cần tương tác của người dùng. Điều này làm cho chúng trở nên rất hấp dẫn đối với các tác nhân đe dọa nhắm mục tiêu vào hạ tầng lưu trữ doanh nghiệp. Việc không cập nhật Dell Storage Manager có thể dẫn đến nguy cơ cao bị chiếm quyền điều khiển.

Các nhóm bảo mật cần xem xét triển khai Dell Storage Manager của họ ngay lập tức và lập kế hoạch hoạt động vá lỗi để loại bỏ các rủi ro bỏ qua xác thực nghiêm trọng trước khi những kẻ tấn công phát triển các công cụ khai thác. Việc khắc phục kịp thời các lỗ hổng CVE Dell Storage Manager là yếu tố then chốt để đảm bảo an toàn thông tin.

Ghi nhận và lịch sử công bố

Dell đã ghi nhận các nhà nghiên cứu bảo mật từ Tenable đã xác định CVE-2025-43995 và CVE-2025-43994. Trong khi đó, nhà nghiên cứu độc lập Ahmed Y. Elmogy đã phát hiện CVE-2025-46425. Các lỗ hổng đã trải qua quá trình sửa đổi vào cùng ngày công bố ban đầu, với việc Dell cập nhật hướng dẫn khắc phục lên phiên bản 2020 R1.22 hoặc cao hơn.