Deux failles critiques affectent les clients légers Dell Wyse

Une équipé de chercheurs en sécurité a découverte deux failles critiques avec un score CVSS de 10 au sein des clients légers Dell Wyse : CVE-2020-29491 et CVE-2020-29492.

Ces vulnérabilités rapportées à Dell en juin 2020 touche tous les appareils qui tournent sous ThinOS en version 8.6 et inférieure. Dell a publié un correctif pour corriger ces deux brèches qui avaient un score CVSS de 10, ce qui correspond à la note maximale en terme de criticité. Il y a notamment une mise à jour pour les modèles suivants : Dell Wyse 3040, Dell Wyse 5010 / 5040 / 5060 / 5070, Dell Wyse 5470 et Dell Wyse 7010.

Correctif Dell Wyse

En exploitant les failles référencées CVE-2020-29491 et CVE-2020-29492, l'attaquant pourrait lire et altérer la configuration des clients légers par le réseau en s'intéressant directement au serveur de configuration. Une session FTP suffirait pour effectuer cette action à distance sur le serveur grâce à une connexion "anonymous".

La faille CVE-2020-29491 permet à l'attaquant d'accéder au serveur et de lire les fichiers de configuration, c'est-à-dire les fichiers INI. Ensuite, la faille CVE-2020-29492 va permettre de modifier les fichiers INI grâce à la connexion FTP établie, et cela sans authentification.

Le problème c'est que la configuration peut contenir des informations sensibles, notamment des identifiants et mots de passe : de quoi compromettre l'équipement.

Il est recommandé d'installer dès que possible le patch publié par Dell. En complément, les chercheurs en sécurité de chez CyberMDX recommandent de migrer les clients légers compatibles vers ThinOS 9 puisqu'il retire cette gestion de fichiers INI. Si ce n'est pas possible, vous pouvez désactiver l'accès FTP.

Source

PS : Joyeux Noël à toutes et à tous !

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau et cofondateur d'IT-Connect. Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian a publié 2956 articlesVoir toutes les publications de cet auteur

One thought on “Deux failles critiques affectent les clients légers Dell Wyse

  • Salut merci pour l’info patch en cours de mon coté 8.6_606, 8.6_606 pour mes 5010 5070 5470 (thinos 9 uniquement compatible avec citrix
    j’hésite a désactiver le ftp en + ..

    Répondre

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

 

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.