DSA-2019-028: Flere sårbarheder i Dell Technologies iDRAC

DSA ID: CVE-id for DSA-2019-028

: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707

Alvorlighed: Høj

prioritetsvurdering: Se afsnittet Detaljer nedenfor om individuelle CVSS-scorer for hver CVE.
                         
Berørte produkter:
 

• Dell Technologies iDRAC6-versioner før 2.92 (CVE-2019-3705)
• Dell Technologies iDRAC7/iDRAC8-versioner før 2.61.60.60 (CVE-2019-3705)
• Dell Technologies iDRAC9-versioner før 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 og CVE-2019-3707)

Detaljer:  

• Sikkerhedsrisiko ved bufferoverløb (CVE-2019-3705)
   

• Sikkerhedsrisiko ved omgåelse af godkendelse af webgrænseflader (CVE-2019-3706)

• Sikkerhedsrisiko for omgåelse af godkendelse i WS-MAN (CVE-2019-3707)

Følgende Dell Technologies iDRAC-firmwareudgivelser indeholder løsninger på disse sårbarheder:
 

Dell Technologies anbefaler, at alle kunder opgraderer hurtigst muligt.  

Dells bedste fremgangsmåder vedrørende iDRAC:

Ud over at vedligeholde opdateret iDRAC-firmware anbefaler Dell også følgende:

• iDRAC er ikke designet eller beregnet til at blive placeret på eller forbundet til internettet. De er beregnet til at være på et separat ledelsesnetværk. Placering eller tilslutning af iDRAC er direkte til internettet kan udsætte det tilsluttede system for sikkerhedsrisici eller andre risici, som Dell ikke er ansvarlig for.   
• Ud over at placere iDRAC på et separat administrationsundernet skal brugere isolere administrationsundernettet/VLAN med teknologier som f. eks. firewalls og begrænse adgangen til undernettet/VLAN til autoriserede serveradministratorer.
• Dell Technologies anbefaler, at kunderne overvejer eventuelle implementeringsfaktorer, der kan være relevante for deres miljø, når de vurderer deres samlede risiko.

Link til afhjælpninger:

Kunder kan downloade iDRAC-firmware til PowerEdge-servere. For alle andre platforme skal du vælge platformen på Dells supportwebsted.


Dell Technologies anbefaler, at alle brugere vurderer anvendeligheden af disse oplysninger i deres individuelle situation og træffer passende foranstaltninger. Oplysningerne heri videresendes "som de er og forefindes" uden nogen form for garanti. Dell frasiger sig alle garantier, både udtrykkelige og stiltiende, herunder garantier for salgbarhed, egnethed til et bestemt formål, adkomst og ikke-krænkelse. Under ingen omstændigheder kan Dell eller dets leverandører gøres erstatningsansvarlige for skader af nogen art, herunder direkte, indirekte, hændelige og specielle skader samt følgeskader og tab af indtjening, selvom Dell eller dets leverandører er blevet underrettet om muligheden for sådanne skader. Visse lande tillader ikke fraskrivelse eller begrænsning af erstatningsansvar for følgeskader eller hændelige skader, så ovenstående begrænsning gælder muligvis ikke.