"Vulnerabilidad de descarga del shell" de Bash en Dell Data Protection Virtual Edition

Productos afectados:

• Dell Data Protection | Virtual Edition

Versiones afectadas:

• v9.2 y versiones anteriores

Ejecute el siguiente comando desde un símbolo del sistema del shell bash para probar esta vulnerabilidad:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Si la palabra vulnerable aparece en la salida, la máquina es vulnerable a la vulnerabilidad.

Incluso teniendo esta vulnerabilidad, un atacante debe poder acceder a un puerto específico en el servidor VE para utilizarla.

Es una práctica recomendada que Dell Data Protection | El servidor Virtual Edition no está orientado a Internet, sino que los servicios proxy se utilizan para los requisitos de Internet.

Si Dell Data Protection | Virtual Edition no está orientado a Internet, el problema de ShellShock no se pudo aprovechar fuera de la organización.

Versiones anteriores de Dell Data Protection | Virtual Edition es susceptible a una vulnerabilidad de seguridad en el shell bash que se describe en Aviso de seguridad de Ubuntu USN-2362-1, comúnmente denominado vulnerabilidad de descarga del shell.

Parámetros del problema:

• La consola de Dell Data Protection | Virtual Edition y el servidor SSH utilizan el shell bash, el que se puede vulnerar mediante el paso de código a un shell bash para obtener acceso no autorizado al entorno de comandos.
• La vulnarabilidad no está presente en el software Dell Data Protection | Encryption Pre-Boot Authentication (PBA), como la administración de Self-Encryption Drive (SED) o Hardware Encryption Accelerator (HCA) que se usa para la autenticación de clientes.

El problema se resolvió en Dell Data Protection | Virtual Edition v9.3 y versiones posteriores.

Para corregir este problema:

1. Abra la consola de escritorio remoto de Virtual Edition.
2. Seleccione la opción Launch Shell (Iniciar shell) en el menú principal y siga estos pasos:
3. Escriba el comando: su ddpsupport
4. Presione la tecla Intro.
5. Cuando se le solicite, ingrese el conjunto de contraseñas para el ddpsupport usuario.
6. Hay un indicador de actualización que comienza con ddpsupport@.
7. Escriba el comando: sudo apt-get update
   • Este comando se comunica con los servidores de actualización de Ubuntu mediante Internet y solicita las actualizaciones pertinentes necesarias.
8. Escriba el comando: sudo apt-get install bash

Una vez finalizada la actualización, confirme que esta haya resuelto la vulnerabilidad mediante una nueva prueba.

Para comunicarse con el equipo de soporte, consulte los números de teléfono de soporte internacionales de Dell Data Security.
Vaya a TechDirect para generar una solicitud de soporte técnico en línea.
Para obtener información y recursos adicionales, únase al foro de la comunidad de seguridad de Dell.

Más material de referencia

CVE-2014-6271 en el sitio web de NIST