Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) 的 Feature Release 版本 7.7.1.0 到 8.5，LTS2025 发布版本 8.3.1.0 到 8.3.1.20，LTS2024 发布版本 7.13

戴尔已在 PowerProtect Data Domain 中识别出一个命令注入漏洞（CVE-2026-23779）。此漏洞影响 DD OS Feature Release 版本 7.7.1.0 到 8.5，LTS2025 发布版本 8.3.1.0 到 8.3.1.20，以及 LTS2024 发布版本 7.13.1.0 到 7.13.1.50。具有本地访问权限的高权限攻击者可能利用此漏洞获得对系统的 root 级别访问权限。这可能允许攻击者执行任意命令、访问敏感数据并破坏 Data Domain 系统的完整性。此漏洞的严重程度在 CVSS 规模上评为 6.7。

Organizations heavily reliant on Dell PowerProtect Data Domain for data protection and backup are at significant risk. This includes those with legacy deployments of affected versions, environments with inadequate access controls, and those lacking robust monitoring and patching processes. Shared hosting environments utilizing Data Domain appliances are also particularly vulnerable due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u dd-os | grep -i "command injection"

• linux / server:

ps aux | grep -i "malicious_command"

• linux / server:

find / -name "vulnerable_script.sh" -print

1. 2026-04-17Disclosure

   disclosure

1. 已保留2026-01-16
2. 发布日期2026-04-17
3. 修改日期2026-04-18
4. EPSS 更新日期2026-04-24

戴尔强烈建议更新到 PowerProtect Data Domain Operating System (DD OS) 的 8.6.0.0 或更高版本，以减轻此漏洞。此更新包含防止命令注入所需的修复程序。如果无法立即更新，戴尔建议查看安全指南和最佳实践，以限制对 Data Domain 系统的本地访问并加强现有的安全措施。有关更新和实施说明的更多信息，请参阅戴尔支持页面。虽然没有与此漏洞相关的特定 KEV（戴尔知识库文章），但戴尔正在监控情况，并在必要时提供更新。