CVE-2026-22769
Dell RecoverPoint for Virtual Machines (RP4VMs) Use of Hard-coded Credentials Vulnerability
Beschreibung
CVE-2026-22769 ist eine kritische Schwachstelle in Dell RecoverPoint for Virtual Machines (RP4VMs) vor Version 6.0 SP2, die auf fest einprogrammierte Zugangsdaten (Hard-coded Credentials) zurueckzufuehren ist. Mit dem hoechstmoeglichen CVSS-Score von 10.0 (CRITICAL) stellt diese Schwachstelle ein maximales Sicherheitsrisiko dar. Ein nicht authentifizierter, entfernter Angreifer kann die fest einprogrammierten Zugangsdaten ausnutzen, um vollstaendigen Zugriff auf das betroffene System zu erlangen. Dies ermoeglicht eine komplette Systemkompromittierung einschliesslich Datendiebstahl, Konfigurationsaenderungen und Dienstunterbrechungen. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 11. Maerz 2026. Der EPSS-Score von 14,65 % (95,03. Perzentil) unterstreicht die hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dell | recoverpoint for virtual machines | < 6.0; 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://www.dell.com/support/kbdoc/en-us/000426773/dsa-2026-079(Patch, Vendor Advisory)
- https://cloud.google.com/blog/topics/threat-intelligence/unc6201-exploiting-dell-recoverpoint-zero-day(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-22769(US Government Resource)
Schwachstellentyp
CWE-798: Use of Hard-coded Credentials
Die Schwachstelle wird als CWE-798 (Use of Hard-coded Credentials) klassifiziert. Bei dieser Schwachstellenklasse sind Zugangsdaten wie Benutzernamen, Passwoerter, kryptografische Schluessel oder API-Tokens direkt im Quellcode oder in der Firmware der Software eingebettet. Diese fest einprogrammierten Zugangsdaten sind fuer alle Installationen identisch und koennen nicht vom Administrator geaendert werden. Angreifer koennen diese Zugangsdaten durch Reverse Engineering der Software, Analyse von Firmware-Images oder oeffentlich verfuegbare Informationen extrahieren und fuer den unautorisierten Zugriff auf alle betroffenen Systeme verwenden.
Auswirkungsanalyse
Vollstaendige Systemkompromittierung: Der CVSS-Score von 10.0 repraesentiert das hoechstmoegliche Risiko. Alle drei Sicherheitsziele sind maximal betroffen: Vertraulichkeit (C:H) - Ein Angreifer kann saemtliche auf dem System gespeicherten Daten einsehen, einschliesslich Backup-Konfigurationen, Replikationsdaten und moeglicherweise Zugangsdaten zu den geschuetzten virtuellen Maschinen. Integritaet (I:H) - Der Angreifer kann Konfigurationen aendern, Backup-Policies manipulieren, Replikationseinstellungen modifizieren und potenziell Schadsoftware einschleusen. Verfuegbarkeit (A:H) - Das System kann vollstaendig ausser Betrieb gesetzt werden, was den Verlust der Disaster-Recovery-Faehigkeit fuer die geschuetzten virtuellen Maschinen bedeutet.
Scope (Changed): Der Scope-Wert S:C zeigt an, dass die Kompromittierung von RP4VMs Auswirkungen auf andere Systeme haben kann. Da RP4VMs als Disaster-Recovery-Loesung direkten Zugriff auf die Hypervisor-Infrastruktur und die geschuetzten VMs hat, kann ein Angreifer ueber das kompromittierte System auf die gesamte virtuelle Infrastruktur zugreifen.
Geschaeftliche Auswirkungen: Der Verlust der Disaster-Recovery-Faehigkeit durch Kompromittierung von RP4VMs kann im Katastrophenfall zu totalem Datenverlust fuehren. Zudem kann ein Angreifer Backup-Daten exfiltrieren, die oft sensible Unternehmensdaten enthalten.
Exploit-Reifegrad
Die Exploit-Reife von CVE-2026-22769 ist als hoch einzustufen. Die Aufnahme in den CISA KEV-Katalog bestaetigt, dass die Schwachstelle aktiv in realen Angriffen ausgenutzt wird. Der EPSS-Score von 14,65 % (95,03. Perzentil) zeigt, dass die Schwachstelle zu den am haeufigsten ausgenutzten 5 % aller bekannten Schwachstellen gehoert.
Geringe Angriffskomplexitaet: Der CVSS-Vektor zeigt mit AC:L eine niedrige Angriffskomplexitaet an. Da die Zugangsdaten fest einprogrammiert und fuer alle Installationen identisch sind, benoetigt ein Angreifer lediglich Kenntnis dieser Zugangsdaten und Netzwerkzugriff auf das System. Sobald die Zugangsdaten oeffentlich bekannt sind oder durch Reverse Engineering extrahiert wurden, ist die Ausnutzung trivial.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Aufgrund der Natur der Schwachstelle - vollstaendiger Systemzugriff auf eine Backup- und Recovery-Loesung - ist sie jedoch ein attraktives Ziel fuer Ransomware-Gruppen, die gezielt Backup-Systeme kompromittieren, um die Wiederherstellung nach einem Angriff zu verhindern.
Behebung
Sofortiges Update auf Version 6.0 SP2: Aktualisieren Sie Dell RecoverPoint for Virtual Machines umgehend auf Version 6.0 SP2 oder neuer. Dies ist die einzige vollstaendige Behebung, da die fest einprogrammierten Zugangsdaten in dieser Version entfernt oder ersetzt wurden. Angesichts der kritischen Schwere und der aktiven Ausnutzung sollte dieses Update die hoechste Prioritaet haben. Detaillierte Informationen finden Sie im Dell Security Advisory DSA-2026-069.
Netzwerkzugriff einschraenken: Bis zum Update sollten Sie den Netzwerkzugriff auf das RP4VMs-System strikt einschraenken. Platzieren Sie das System in einem isolierten Netzwerksegment und erlauben Sie nur den Zugriff von autorisierten Administrations-Workstations. Blockieren Sie jeglichen Zugriff aus dem Internet oder nicht vertrauenswuerdigen Netzwerken.
Monitoring und Forensik: Ueberpruefen Sie die Zugriffslogs des RP4VMs-Systems auf ungewoehnliche Anmeldungen oder Konfigurationsaenderungen. Da die Schwachstelle aktiv ausgenutzt wird, sollten Sie davon ausgehen, dass exponierte Systeme bereits kompromittiert sein koennten, und eine forensische Untersuchung durchfuehren.
Disaster-Recovery-Strategie pruefen: Stellen Sie sicher, dass Sie ueber alternative Wiederherstellungsmoeglichkeiten verfuegen, falls das RP4VMs-System kompromittiert wurde. Validieren Sie die Integritaet bestehender Replikationskonfigurationen und Recovery-Points nach dem Update.
Technische Details
Die Schwachstelle basiert auf fest einprogrammierten Zugangsdaten (Hard-coded Credentials) in Dell RecoverPoint for Virtual Machines. Diese Zugangsdaten sind im Softwarepaket enthalten und auf allen Installationen vor Version 6.0 SP2 identisch. Ein Angreifer, der diese Zugangsdaten kennt, kann sich ohne weitere Authentifizierung vollstaendig am System anmelden.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - Dies ist der hoechstmoegliche CVSS-Score. Der Angriff erfolgt ueber das Netzwerk mit niedriger Komplexitaet, erfordert keine Privilegien und keine Benutzerinteraktion. Der Scope ist geaendert, was bedeutet, dass neben dem RP4VMs-System auch andere Systeme in der Infrastruktur betroffen sein koennen. Alle drei Schutzziele (Vertraulichkeit, Integritaet, Verfuegbarkeit) sind maximal beeintraechtigt.
Betroffene Versionen: Alle Versionen von Dell RecoverPoint for Virtual Machines vor 6.0 SP2 (6.0.2) sind betroffen. Da RP4VMs typischerweise in Rechenzentren eingesetzt wird, um virtuelle Maschinen auf VMware-Plattformen zu schuetzen, hat eine Kompromittierung potenziell weitreichende Auswirkungen auf die gesamte virtualisierte Infrastruktur.
Angriffsszenario: Ein Angreifer scannt das Netzwerk nach RP4VMs-Instanzen, authentifiziert sich mit den bekannten fest einprogrammierten Zugangsdaten und erhaelt vollstaendigen Systemzugriff. Von dort aus kann er Backup-Daten exfiltrieren, Replikationskonfigurationen manipulieren oder das System als Sprungbrett fuer weitere Angriffe auf die VMware-Infrastruktur nutzen.
Häufig gestellte Fragen
Was bedeutet der CVSS-Score von 10.0 fuer mein Unternehmen?
Ein CVSS-Score von 10.0 ist der hoechstmoegliche Wert und bedeutet, dass ein Angreifer ohne jegliche Voraussetzungen vollstaendige Kontrolle ueber das System erlangen kann. Fuer Ihr Unternehmen bedeutet dies, dass ein Update auf RP4VMs 6.0 SP2 hoechste Prioritaet haben sollte, da ein kompromittiertes Backup-System die gesamte Disaster-Recovery-Strategie gefaehrden kann.
Koennen die fest einprogrammierten Zugangsdaten manuell geaendert werden?
Nein, da die Zugangsdaten im Quellcode der Software eingebettet sind, koennen sie nicht durch den Administrator geaendert werden. Die einzige Loesung ist das Update auf Version 6.0 SP2, in der diese Zugangsdaten entfernt oder durch sichere Authentifizierungsmechanismen ersetzt wurden.
Warum sind Hard-coded Credentials besonders gefaehrlich?
Fest einprogrammierte Zugangsdaten sind auf allen Installationen identisch. Sobald ein Angreifer diese Zugangsdaten durch Reverse Engineering oder oeffentliche Veroeffentlichung kennt, kann er auf jede ungepatchte Installation zugreifen. Anders als bei schwachen Passwoertern hilft hier keine Passwortaenderung - nur ein Software-Update kann das Problem beheben.
Ist mein System betroffen, wenn es nicht direkt aus dem Internet erreichbar ist?
Obwohl eine fehlende direkte Internetanbindung das Risiko reduziert, sind Sie nicht sicher. Angreifer, die bereits Zugang zu Ihrem internen Netzwerk haben (z.B. durch Phishing oder eine andere Schwachstelle), koennen die fest einprogrammierten Zugangsdaten nutzen, um auf RP4VMs zuzugreifen. Die Schwachstelle sollte unabhaengig von der Netzwerktopologie behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.