Dell SupportAssist 客户端多个误差清静通告

宣布时间 2019-05-23

误差编号和级别


CVE编号：CVE-2019-3718，危险级别：高危，CVSS分值：厂商自评：7.6，官方：8.8

CVE编号：CVE-2019-3719，危险级别：高危，CVSS分值：厂商自评：7.1，官方：8.0


影响版本


受影响的版本

3.2.0.90 之前的 Dell SupportAssist 客户端版本


误差概述


Dell SupportAssist 客户端是美国戴尔（Dell）公司的一款客户端应用程序。该程序提供自动化、自动和展望性手艺举行故障扫除等。Dell SupportAssist 客户端保存以下误差：
CVE-2019-3718
Dell SupportAssist 客户端版本包括不当原始验证误差。未履历证的远程攻击者可能会使用此误差来实验对受影响系统的用户提倡 CSRF 攻击。
CVE-2019-3719

Dell SupportAssist 客户端版本中包括远程代码执行误差。与易受攻击的系总共享网络会见层的未履历证的攻击者可通过诱使受害用户通过 SupportAssist 客户端从攻击者托管的站点下载和执行恣意可执行文件，从而入侵易受攻击的系统。


误差验证

CVE-2019-3719 POC：https://github.com/D4stiny/Dell-Support-Assist-RCE-PoC。


修复建议


现在厂商已宣布新版本以修复误差，请用户升级至Dell SupportAssist 客户端版本 3.2.0.90 和更高版本：https://downloads.dell.com/serviceability/Catalog/SupportAssistInstaller.exe。


参考链接


https://www.dell.com/support/article/cn/zh/cndhs1/sln316857/dsa-2019-051-dell-supportassist-client-multiple-vulnerabilities?lang=en