Sicherheitsforscher von WatchTowr haben einen Bericht veröffentlicht, demzufolge eine Sicherheitslücke in Dell UnityVSA es Angreifern ermöglicht, ohne Authentifizierung Befehle auf dem Gerät auszuführen. Die Schwachstelle betrifft die Login-Redirection-Logik und wurde unter der Nummer CVE-2025-36604 erfasst.
Bei UnityVSA handelt es sich, vereinfacht gesagt, um die Softwareversion des Unity-Speichersystems von Dell. Anstatt auf dedizierter Hardware läuft es in einer virtuellen Maschine auf Hypervisoren wie VMware ESXi. Da Speichersysteme, auf denen potenziell kritische Daten gehostet werden, ein bevorzugtes Ziel von Cyberangriffen sind, ist jede Schwachstelle hier besonders sensibel.
Grundlage der Sicherheitslücke ist die Art und Weise, wie UnityVSA Login-Redirect-URLs verarbeitet. Unter bestimmten Bedingungen wird eine vom Benutzer kontrollierte URL ohne ordnungsgemäße Bereinigung direkt in eine Befehlsausführungszeichenfolge eingefügt.
Geht eine Anfrage ohne das erwartete Authentifizierungs-Cookie ein, veranlasst das System eine Umleitung zum Login-Flow. Diese leitet eine rohe URL an eine Funktion (getCASURL) weiter, wo die URL zu einem Befehl verkettet wird, der über den Backtick-Operator von Perl ausgeführt wird, wenn der Parameter „type“ gleich „login“ ist.
Ein Angreifer kann Shell-Metazeichen in diese URL einbetten und so die Ausführung beliebiger Befehle auf dem Gerät veranlassen. Von dort aus könnte er Konfigurationen ändern, auf Daten zugreifen oder diese zerstören, weitere Skripte einschleusen oder die vollständige Kontrolle übernehmen.
Betroffen sind der Analyse von WatchTowr zufolge Versionen bis Version 5.5. Das bestätigt auch Dell und empfiehlt ein Upgrade auf Version 5.5.1 oder höher. Dabei bewertet Dell die Bedrohung durch CVE-2025-36604 intern als „Hoch“, während die National Vulnerability Database (NVD) davon ausgeht, dass sie unter bestimmten Umständen auch auf „kritisch“ hochgestuft werden könnte.
Unternehmen, bei denen UnityVSA zum Einsatz kommt, sollten daher schnellstmöglich auf eine der nicht von der Sicherheitslücke betroffenen Versionen upgraden. Ab Version 5.5.1 besteht keine Gefahr mehr durch CVE-2025-36604. Außerdem werden durch den Patch weitere Sicherheitslücken geschlossen. Um zu überprüfen, ob die eigenen Systeme verwundbar sind, haben die Sicherheitsforscher von WatchTowr einen Detection Artefact Generator veröffentlicht. Und auch wenn der Patch bereits durchgeführt wurde, sollten die Protokolle auf unerwartete Weiterleitungs-URLs, ungewöhnliche Shell-Ausführungen oder anderes verdächtiges Verhalten in der Nähe von Access Points überprüft werden.
Bei UnityVSA handelt es sich, vereinfacht gesagt, um die Softwareversion des Unity-Speichersystems von Dell. Anstatt auf dedizierter Hardware läuft es in einer virtuellen Maschine auf Hypervisoren wie VMware ESXi. Da Speichersysteme, auf denen potenziell kritische Daten gehostet werden, ein bevorzugtes Ziel von Cyberangriffen sind, ist jede Schwachstelle hier besonders sensibel.
Grundlage der Sicherheitslücke ist die Art und Weise, wie UnityVSA Login-Redirect-URLs verarbeitet. Unter bestimmten Bedingungen wird eine vom Benutzer kontrollierte URL ohne ordnungsgemäße Bereinigung direkt in eine Befehlsausführungszeichenfolge eingefügt.
Geht eine Anfrage ohne das erwartete Authentifizierungs-Cookie ein, veranlasst das System eine Umleitung zum Login-Flow. Diese leitet eine rohe URL an eine Funktion (getCASURL) weiter, wo die URL zu einem Befehl verkettet wird, der über den Backtick-Operator von Perl ausgeführt wird, wenn der Parameter „type“ gleich „login“ ist.
Ein Angreifer kann Shell-Metazeichen in diese URL einbetten und so die Ausführung beliebiger Befehle auf dem Gerät veranlassen. Von dort aus könnte er Konfigurationen ändern, auf Daten zugreifen oder diese zerstören, weitere Skripte einschleusen oder die vollständige Kontrolle übernehmen.
Betroffen sind der Analyse von WatchTowr zufolge Versionen bis Version 5.5. Das bestätigt auch Dell und empfiehlt ein Upgrade auf Version 5.5.1 oder höher. Dabei bewertet Dell die Bedrohung durch CVE-2025-36604 intern als „Hoch“, während die National Vulnerability Database (NVD) davon ausgeht, dass sie unter bestimmten Umständen auch auf „kritisch“ hochgestuft werden könnte.
Unternehmen, bei denen UnityVSA zum Einsatz kommt, sollten daher schnellstmöglich auf eine der nicht von der Sicherheitslücke betroffenen Versionen upgraden. Ab Version 5.5.1 besteht keine Gefahr mehr durch CVE-2025-36604. Außerdem werden durch den Patch weitere Sicherheitslücken geschlossen. Um zu überprüfen, ob die eigenen Systeme verwundbar sind, haben die Sicherheitsforscher von WatchTowr einen Detection Artefact Generator veröffentlicht. Und auch wenn der Patch bereits durchgeführt wurde, sollten die Protokolle auf unerwartete Weiterleitungs-URLs, ungewöhnliche Shell-Ausführungen oder anderes verdächtiges Verhalten in der Nähe von Access Points überprüft werden.
