BDU:2025-03555

Высокий

BDU:2025-03555: Уязвимость операционной среды для управления и обеспечения работы хранилища данных Dell Unity Operating Environment (OE), связанная с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю получить доступ на чтение, изменение и удаление произвольных файлов

CVSS v39.1

CVSS v29.4

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость операционной среды для управления и обеспечения работы хранилища данных Dell Unity Operating Environment (OE) связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ на чтение, изменение и удаление произвольных файлов

Что делать с BDU:2025-03555

Высокая уязвимость (CVSS 9.1) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

9.1Критический

Пересчитать →

9.4

Только просмотр

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:HAV:N/AC:L/Au:N/C:N/I:C/A:C

CWE — тип уязвимости

CWE-78

CVE — международный идентификатор

CVE-2025-24383

DSA-2025-116

CWE-78

Внедрение команд ОС

Позволяет выполнять произвольные команды операционной системы через пользовательский ввод.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду ОС: ping {input} → ping 8.8.8.8; rm -rf /. Сервер выполняет обе команды.

Последствия

Полный контроль над ОС сервера: чтение файлов, установка бэкдора, lateral movement.

Рекомендации

Никогда не конструируйте команды из пользовательского ввода. Используйте API вместо shell-команд.

Тактики и техники

Инъекция

Уязвимое ПО (2)

Вендор	Название	Версия	Платформа
Dell Technologies	EMC Unity Operating Environment	до 5.5.0.0.5.259	Не указана
Dell Technologies	EMC UnityVSA Operating Environment	до 5.5.0.0.5.259	Не указана

Среды функционирования (2)

Вендор	Название	Версия	Платформа
Dell Technologies	EMC Unity Operating Environment	до 5.5.0.0.5.259	Не указана
Dell Technologies	EMC UnityVSA Operating Environment	до 5.5.0.0.5.259	Не указана

Источники (1)

https://www.dell.com/support/kbdoc/en-us/000300090/dsa-2025-116-security-update-…

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.1

Уточните SLA под вашу среду

Базовый балл 9.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации1.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2025-01-21

Опубликована

2025-03-31

Обновлена

2025-03-31

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2025-24383 MITRE: CWE-78 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК