Vulnérabilités dans le système d’exploitation Dell Wyse ThinOS

Date de publication :

CVE-2020-29491[Score CVSS v3 : 8.6] : Une vulnérabilité critique concernant un défaut de sécurité dans la configuration par défaut du système d’exploitation Dell Wyse ThinOS a été corrigée. Un attaquant distant et non authentifié pourrait potentiellement exploiter cette faille pour accéder à des informations sensibles sur le réseau local, ce qui pourrait compromettre les clients légers concernés.

CVE-2020-29492[Score CVSS v3 : 10.0] : Une vulnérabilité critique concernant un défaut de sécurité dans la configuration par défaut du système d’exploitation Dell Wyse ThinOS a été corrigée. Un attaquant distant et non authentifié pourrait potentiellement exploiter cette faille pour accéder au fichier de configuration en écriture et manipuler la configuration de toute infrastructure liée au dispositif vulnérable.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exposition d’information sensibles
  • Modification illégitimes de fichiers de configuration
  • Violation des politiques de sécurité

Criticité

  • Score CVSS v3 : En cours de calcul

Existence d’un code d’exploitation

  • Il n’existe pas de code d’exploitation disponible à l’heure actuelle.

Composants vulnérables

Les composants ayant la version 8.6 ou une version antérieure de Dell Wyse ThinOS 8.6 sont impactés par ces vulnérabilités :

  • Dell Wyse 3040 Thin Client 
  • Dell Wyse 5010 Thin Client
  • Dell Wyse 5040 Thin Client
  • Dell Wyse 5060 Thin Client 
  • Dell Wyse 5070 Thin Client 
  • Dell Wyse 5470 Thin Client 
  • Dell Wyse 5470 AIO Thin Client
  • Dell Wyse 7010 Thin Client

Toutes les versions de Dell Wyse Thin Client avec PCoIP sont également impactés par ces vulnérabilités.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Dell Wyse ThinOS vers la version 8.6 MR8

Solution de contournement

  • Sécuriser l'environnement du serveur de fichiers lors de l'utilisation des clients Dell Wyse ThinOS 8.6. Les clients ThinOS 8.6 concernés peuvent sécuriser leur environnement en mettant à jour leurs serveurs de fichiers pour utiliser un protocole sécurisé typs HTTPS ou SFTP et en s'assurant que les serveurs de fichiers sont configurés pour un accès en lecture seule. 

  • Les clients ThinOS 8.6 concernés peuvent utiliser Wyse Management Suite au lieu d'un serveur de fichiers pour l'imagerie et la configuration des appareils. Les communications de Wyse Management Suite appliquent le protocole HTTPS et toutes les configurations sont stockées dans une base de données de serveur sécurisée au lieu de fichiers de configuration modifiables.

  • Déployer Dell Wyse Management Suite avec ThinOS 9. En plus du déploiement de Wyse Management Suite, les utilisateurs éligibles peuvent mettre à jour leur système d'exploitation vers ThinOS 9 gratuitement. Les clients ThinOS 9 ne prennent pas en charge la configuration des serveurs de fichiers, et cet exploit ne s'applique donc pas aux clients Wyse utilisant ThinOS 9.

Liens