Dos defectos críticos – CVSS Score 10 – Afectan a los dispositivos Dell Wyse Thin Client

Un equipo de investigadores reveló dos vulnerabilidades de seguridad críticas que descubrió en los clientes Dell Wyse Thin que podrían haber permitido a los atacantes ejecutar de forma remota código malicioso y acceder a archivos arbitrarios en los dispositivos afectados. Las fallas, que fueron descubiertas por el proveedor de ciberseguridad de atención médica CyberMDX y reportadas a […]

Un equipo de investigadores reveló dos vulnerabilidades de seguridad críticas que descubrió en los clientes Dell Wyse Thin que podrían haber permitido a los atacantes ejecutar de forma remota código malicioso y acceder a archivos arbitrarios en los dispositivos afectados.

Las fallas, que fueron descubiertas por el proveedor de ciberseguridad de atención médica CyberMDX y reportadas a Dell en junio de 2020, afectan a todos los dispositivos que ejecutan ThinOS versiones 8.6 y anteriores.

Dell ha abordado ambas vulnerabilidades en una actualización publicada esta semana. Las fallas también tienen una puntuación CVSS de 10 sobre 10, lo que las hace críticas en gravedad.

Los clientes ligeros suelen ser computadoras que se ejecutan desde recursos almacenados en un servidor central en lugar de un disco duro localizado. Funcionan estableciendo una conexión remota con el servidor, que se encarga de iniciar y ejecutar aplicaciones y de almacenar datos relevantes.

Registradas como CVE-2020-29491 y CVE-2020-29492 , las deficiencias de seguridad en los clientes ligeros de Wyse se deben al hecho de que las sesiones FTP utilizadas para extraer actualizaciones de firmware y configuraciones de un servidor local están desprotegidas sin autenticación (“anónimas”) , lo que hace posible que un atacante en la misma red lea y altere sus configuraciones.

El primer defecto, CVE-2020-29491, permite al usuario acceder al servidor y leer configuraciones ( archivos .ini ) pertenecientes a otros clientes.

Una segunda consecuencia de no tener credenciales FTP es que cualquier persona en la red puede acceder al servidor FTP y alterar directamente los archivos .ini que contienen la configuración de otros dispositivos de cliente ligero (CVE-2020-29492).

Lo más devastador es que la configuración puede incluir datos confidenciales, incluidas posibles contraseñas e información de la cuenta que podría usarse para comprometer el dispositivo.

Dada la relativa facilidad de explotación de estos defectos, se recomienda que los parches se apliquen lo antes posible para remediar el riesgo.