CVE-Kennung: CVE-2018-1214
Schweregrad: Kritisch (in spezifischen begrenzten Konfigurationen siehe Hinweis unten)
Betroffene Produkte: Dell EMC SupportAssist Enterprise 1,1 und Upgrade auf 1,2 (nur Windows BS Management Station-Versionen)
Übersicht
Dell EMC SupportAssist Enterprise 1.2.1 enthält Korrekturen für eine undokumentierte Standardkonto-Schwachstelle, die potenziell von unbefugten Benutzern genutzt werden kann, um das betroffene System zu gefährden.
Details
SupportAssist Enterprise Version 1,1 erstellt im Rahmen des Installationsprozesses ein lokales Windows-Benutzerkonto mit dem Namen "OMEAdapterUser" mit dem Standardpasswort. Dieses unnötige Benutzerkonto bleibt auch nach einem Upgrade von Version 1.1 auf Version 1.2 erhalten. Der Zugriff auf die Verwaltungskonsole kann durch eine Person mit Kenntnis des Standardkennworts erreicht werden.
Wenn SupportAssist Enterprise auf einem Server installiert ist, auf dem OpenManage Essentials (OMe) ausgeführt wird, wird das OmeAdapterUser-Benutzerkonto als Mitglied der OmeAdministrators-Gruppe für die OME hinzugefügt. Eine nicht autorisierte Person mit Kenntnis des Standardkennworts und des Zugriffs auf die OME Webkonsole könnte dieses Konto möglicherweise verwenden, um Zugriff auf die betroffene Installation von OME mit OmeAdministrators-Berechtigungen zu erhalten.
Auflösung
Die folgende Dell EMC SupportAssist Enterprise-Version enthält Lösungen für diese Schwachstellen:
Workaround
Das OmeAdapterUser-Benutzerkonto kann manuell gelöscht werden. Das Löschen dieses Benutzerkontos hat keinen Einfluss auf die Funktionalität von SupportAssist Enterprise oder OpenManage Essentials.
Link zu Abhilfemaßnahmen:
Kunden können Software von der Seite Dell EMC SupportAssist Enterprise Version 1.2.1 Windows Management Server herunterladen.
Dell EMC empfiehlt allen Benutzern, die Anwendbarkeit dieser Informationen auf Ihre individuellen Situationen zu bestimmen und entsprechende Maßnahmen zu ergreifen. Die in diesem Dokument dargelegten Informationen werden ohne Gewähr zur Verfügung gestellt. Dell EMC schliesst jegliche ausdrückliche oder stillschweigende Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit, der Eignung für einen bestimmten Zweck, des Eigentums und der Nichtverletzung von Rechten aus. Unter keinen Umständen übernimmt Dell EMC oder seinen Lieferanten Haftung für Schäden, die auch direkt, indirekt, beiläufig, Folgeschäden, Verlust von Geschäftsgewinnen oder besondere Schäden entstehen, selbst wenn Dell EMC oder seine Lieferanten über die Möglichkeit solcher Schäden. In einigen Staaten ist die Haftung für Folgeschäden oder beiläufig entstandene Schäden nicht zulässig, sodass die obige Beschränkung nicht anwendbar ist.