CVE-2026-35154 — 神龙十问 AI 深度分析摘要
CVSS 6.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **漏洞本质**：IDRAC 权限管理不当。 💥 **后果**：本地高权限攻击者可**提权** → 在 IDRAC 执行**未授权删除**。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：**权限控制缺陷**（无明确 CWE）。 🛠️ 缺陷点：IDRAC 对特权操作检查不足。
Q3影响谁？（版本/组件）
📦 **影响版本**： - 7.7.1.0 ~ 8.7.0.0 - LTS2025：8.3.1.0 ~ 8.3.1.20 - LTS2024：7.13.1.0 ~ 7.13.1.60 🖥️ **组件**：Dell PowerProtect Data Domain + **IDRAC**
Q4黑客能干啥？（权限/数据）
⚠️ **黑客能力**： - 已有**本地高权限** - 可**提升权限** - 能**删除 IDRAC 内资源** 🗑️ 🎯 数据风险：**关键系统配置/日志丢失**
Q5利用门槛高吗？（认证/配置）
🔐 **利用门槛**：中等偏高。 - ✅ 需**本地访问** - ✅ 需**高权限账户** - ❗ 需**用户交互**触发 UI 操作
Q6有现成Exp吗？（PoC/在野利用）
🧪 **现成 Exp**：❌ 暂无 PoC。 🌐 **在野利用**：公开情报中**未见**。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： - 核对设备版本是否在**受影响范围** 📋 - 检查是否启用 **IDRAC** - 审计**本地高权限账户活动** 🕵️
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：✅ 已发布安全公告。 📄 参考：[DSA-2026-060](https://www.dell.com/support/kbdoc/en-us/000450699/dsa-2026-060-security-update-for-dell-powerprotect-data-domain-multiple-vulnerabilities) 🔄 建议升级到**修复版本**。
Q9没补丁咋办？（临时规避）
⚡ **无补丁时**： - 🚫 限制**本地高权限账户**数量 - 👀 加强**操作审计**与监控 - 🔒 最小化 IDRAC 可访问范围 - 🧱 隔离关键设备管理网络
Q10急不急？（优先级建议）
🚨 **优先级**：**高**！ - CVSS 3.1：**7.7**（高危） - 涉及**核心设备管理权限** - 💡 尽快核查 & 打补丁！