Inyección de Comandos en el Sistema Operativo en Dell OpenManage Enterprise (CVE-2026-943499

Dell OpenManage Enterprise en sus versiones previas a la 4.8.0 contiene una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), provocada por una sanitización o neutralización deficiente de elementos especiales introducidos por los usuarios.

Vector de Ataque:

Origen / Complejidad: red adyacente (AV:A) | Complejidad de ataque Baja (AC:L).

Requisitos: requiere autenticación con privilegios bajos (PR:L) y acceso a la red adyacente. No requiere interacción del usuario (UI:N).

Mecanismo: un atacante con privilegios mínimos y acceso a la red local/adyacente explota la falta de filtrado de comandos del sistema operativo para inyectar charges maliciosas que son ejecutadas directamente por el backend de la aplicación con altos privilegios.

Impacto Estimado:

Confidencialidad: alta — exposición completa de los datos del sistema subyacente.

Integridad: alta — posibilidad de modificar archivos, configuraciones o binarios del sistema operativo.

Disponibilidad: alta — capacidad de interrumpir los servicios del servidor o provocar caídas del sistema.

Impacto Negocio: compromiso total de la infraestructura de gestión de servidores Dell OpenManage Enterprise, permitiendo al atacante tomar el control operativo de los equipos administrados y alterar la infraestructura crítica del centro de datos.

Solución Definitiva (Parcheado): actualizar Dell OpenManage Enterprise a la versión 4.8.0 o superior.

Medidas de Mitigación / Contención Temporal: restringir de manera estricta el acceso a la red adyacente donde opera la consola de administración, permitiendo únicamente el tráfico de fuentes confiables; monitorear los registros de actividad del sistema en búsqueda de ejecución de comandos o procesos no autorizados.

https://nvd.nist.gov/vuln/detail/cve-2026-94349