New Dell System Update flaw lets hackers gain root privileges
BleepingComputer · 5 oct, 16:53
Dell publicó parches para una vulnerabilidad crítica de path traversal en Dell System Update (DSU) que permite a atacantes no autenticados ejecutar código con privilegios de root en servidores PowerEdge. La empresa también corrigió cuatro vulnerabilidades de alta severidad en DSU y dos de máxima severidad en Container Storage Modules (CSM). Aunque Dell no ha reportado explotación activa, grupos respaldados por estados han explotado vulnerabilidades Dell en el pasado.
La vulnerabilidad CVE-2026-86360 en DSU afecta a una herramienta de línea de comandos que los administradores empresariales usan para desplegar actualizaciones de BIOS, firmware y software en infraestructuras PowerEdge. Un atacante remoto no autenticado podría aprovechar la debilidad de path traversal para acceder al sistema de ficheros y ejecutar código arbitrario con privilegios de root, comprometiendo completamente el aplicativo vulnerable y el sistema operativo subyacente.
En el mismo parche se corrigieron cuatro vulnerabilidades adicionales: CVE-2026-63697 y CVE-2026-71168 permiten ejecución remota de código, mientras que CVE-2026-86361 y CVE-2026-86362 habilitan escalada de privilegios. Dell también publicó parches para dos vulnerabilidades de máxima severidad en Container Storage Modules (CVE-2026-63688 y CVE-2026-63692). Aunque actualmente no hay reportes de explotación activa, en años anteriores grupos patrocinados por estados como Lazarus (Corea del Norte) y UNC6201 (presuntamente chinos) han explotado vulnerabilidades Dell, como CVE-2021-21551 y CVE-2026-22769 respectivamente.
Puntos clave
- CVE-2026-86360: path traversal crítico en DSU que permite RCE sin autenticación
- Actualizar Dell System Update (DSU) a versión 2.3.0.0 o posterior
- Parches también disponibles para CVE-2026-63697, CVE-2026-71168, CVE-2026-86361, CVE-2026-86362 y vulnerabilidades CSM
- Sin explotación activa reportada, pero antecedentes de abuso estatal de vulnerabilidades Dell