CVE-2025-46676: CWE-200: 戴尔PowerProtect Data Domain运行数据域操作系统（DD OS）功能版本中敏感信息向未授权参与者暴露
严重性：低 类型：漏洞
CVE-2025-46676
戴尔 PowerProtect Data Domain 运行数据域操作系统（DD OS）的功能版本 7.7.1.0 至 8.4.0.0、LTS2025 发行版 8.3.1.10、LTS2024 发行版 7.13.1.0 至 7.13.1.40、LTS 2023 发行版 7.10.1.0 至 7.10.1.70 中存在一个“敏感信息向未授权参与者暴露”的漏洞。拥有远程访问权限的高权限攻击者可能利用此漏洞，导致信息泄露。
AI分析
技术总结 CVE-2025-46676 是在运行数据域操作系统（DD OS）版本 7.7.1.0 至 8.4.0.0（包括多个长期支持版本 LTS2023、LTS2024、LTS2025）的戴尔 PowerProtect Data Domain 设备中发现的一个安全漏洞。该漏洞归类于 CWE-200，表明敏感信息暴露给未授权参与者。具体而言，拥有系统远程访问权限的高权限攻击者可以利用此缺陷泄露敏感信息。该漏洞不需要用户交互，不影响系统完整性或可用性，仅影响保密性。CVSS v3.1 基础评分为 2.7，由于需要高权限和远程访问且影响范围有限，反映了其低严重性。目前没有公开记录的漏洞利用或补丁，但该漏洞已由戴尔官方发布和确认。受影响的系统通常用于企业备份和数据保护，使得存储数据的机密性至关重要。此暴露可能导致敏感备份数据或系统信息泄漏，可能助长进一步的攻击或违反合规性要求。
潜在影响 对于欧洲组织而言，CVE-2025-46676 的主要影响是戴尔 PowerProtect Data Domain 系统存储或处理的敏感信息可能被未授权披露。这些系统在企业环境中广泛用于备份和灾难恢复，通常包含关键的业务和个人数据。此类信息的暴露可能导致数据隐私侵犯、不合规（例如违反 GDPR）以及声誉损害。尽管该漏洞需要高权限的远程访问，但如果攻击者通过窃取管理凭证或利用其他漏洞来获得此类访问权限，他们就可以利用此缺陷提取敏感数据。此风险对于具有严格数据保护要求的行业（包括金融、医疗保健和政府机构）尤其相关。有限的严重性评分表明该威胁并不危急，但由于所涉及数据的敏感性以及信息泄露可能带来的连锁效应，仍值得关注。
缓解建议
- 严格限制对戴尔 PowerProtect Data Domain 系统的远程访问，仅限受信任的管理员通过安全的网络分段和防火墙访问管理网络。
- 为所有特权账户实施强多因素身份验证（MFA），以降低凭证泄露的风险。
- 监控和审计特权用户活动及远程访问日志，以便及时检测异常或未经授权的行为。
- 及时关注戴尔的安全公告，并在提供补丁或更新后尽快应用以解决此漏洞。
- 对备份环境中的静态数据和传输中数据采用加密，以尽量减少任何潜在信息泄露的影响。
- 定期进行安全评估和渗透测试，重点关注备份基础设施，以识别和修复权限提升或远程访问弱点。
- 限制高权限账户的数量，并强制执行最小权限原则，以减少攻击面。
受影响国家 德国、英国、法国、荷兰、意大利、西班牙、瑞典
来源：CVE 数据库 V5 发布日期：2026年1月9日星期五
技术详情
- 数据版本： 5.2
- 分配者简称： dell
- 日期保留： 2025-04-27T05:03:57.127Z
- Cvss 版本： 3.1
- 状态： 已发布
- 威胁 ID： 69612866f9fa58d972818239
- 添加到数据库： 2026年1月9日，下午4:10:14
- 最后丰富： 2026年1月9日，下午4:25:26
- 最后更新： 2026年1月11日，上午2:58:47
- 浏览量： 17