Bei UnityVSA handelt es sich, vereinfacht gesagt, um die Softwareversion des Unity-Speichersystems von Dell. Anstatt auf dedizierter Hardware läuft es in einer virtuellen Maschine auf Hypervisoren wie VMware ESXi. Da Speichersysteme, auf denen potenziell kritische Daten gehostet werden, ein bevorzugtes Ziel von Cyberangriffen sind, ist jede Schwachstelle hier besonders sensibel.
Grundlage der Sicherheitslücke ist die Art und Weise, wie UnityVSA Login-Redirect-URLs verarbeitet. Unter bestimmten Bedingungen wird eine vom Benutzer kontrollierte URL ohne ordnungsgemäße Bereinigung direkt in eine Befehlsausführungszeichenfolge eingefügt.
Geht eine Anfrage ohne das erwartete Authentifizierungs-Cookie ein, veranlasst das System eine Umleitung zum Login-Flow. Diese leitet eine rohe URL an eine Funktion (getCASURL) weiter, wo die URL zu einem Befehl verkettet wird, der über den Backtick-Operator von Perl ausgeführt wird, wenn der Parameter „type“ gleich „login“ ist.
Ein Angreifer kann Shell-Metazeichen in diese URL einbetten und so die Ausführung beliebiger Befehle auf dem Gerät veranlassen. Von dort aus könnte er Konfigurationen ändern, auf Daten zugreifen oder diese zerstören, weitere Skripte einschleusen oder die vollständige Kontrolle übernehmen.
Betroffen sind der Analyse von WatchTowr zufolge Versionen bis Version 5.5. Das bestätigt auch Dell und empfiehlt ein Upgrade auf Version 5.5.1 oder höher. Dabei bewertet Dell die Bedrohung durch CVE-2025-36604 intern als „Hoch“, während die National Vulnerability Database (NVD) davon ausgeht, dass sie unter bestimmten Umständen auch auf „kritisch“ hochgestuft werden könnte.
Unternehmen, bei denen UnityVSA zum Einsatz kommt, sollten daher schnellstmöglich auf eine der nicht von der Sicherheitslücke betroffenen Versionen upgraden. Ab Version 5.5.1 besteht keine Gefahr mehr durch CVE-2025-36604. Außerdem werden durch den Patch weitere Sicherheitslücken geschlossen. Um zu überprüfen, ob die eigenen Systeme verwundbar sind, haben die Sicherheitsforscher von WatchTowr einen Detection Artefact Generator veröffentlicht. Und auch wenn der Patch bereits durchgeführt wurde, sollten die Protokolle auf unerwartete Weiterleitungs-URLs, ungewöhnliche Shell-Ausführungen oder anderes verdächtiges Verhalten in der Nähe von Access Points überprüft werden.
Über die 8com GmbH & Co. KG
Das Security Operations Center von 8com schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), eXtended Detection and Response (XDR), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach.
8com gehört zu den führenden SOC-Anbietern in Europa. Seit 20 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
