Dell EMC iDRAC – Mehrere Sicherheitslücken (CVE-2018-15774 und CVE-2018-15776)

• Dell EMC iDRAC7-/iDRAC8-Versionen vor 2.61.60.60 (CVE-2018-15774 und CVE-2018-15776)
• Dell EMC iDRAC9-Versionen vor 3.20.21.20, 3.21.24.22, 3.21.26.22 und 3.23.23.23 (CVE-2018-15774)

• Sicherheitslücke – Rechteerweiterung (CVE-2018-15774)

• Sicherheitslücke – Unangemessene Fehlerhandhabung (CVE-2018-15776)

Hinweis: Andere Modelle von iDRAC sind von den oben beschriebenen Sicherheitslücken nicht betroffen.

Lösung:   
Die folgenden Dell EMC iDRAC-Firmware-Versionen enthalten Lösungen für diese Sicherheitslücken:

Hinweis: Ab dem Veröffentlichungsdatum verfügbar.

Dell EMC empfiehlt allen Kunden, bei der nächsten Gelegenheit ein Upgrade durchzuführen. 

Dell EMC Best Practices in Bezug auf iDRAC:

Um die iDRAC-Firmware auf dem neuesten Stand zu halten, empfiehlt Dell EMC außerdem Folgendes:

• iDRACs sind nicht darauf ausgelegt, ins Internet gestellt oder mit dem Internet verbunden zu werden; sie sollten sich in einem separaten Verwaltungsnetzwerk befinden. Befinden sich iDRACs direkt im Internet oder sind mit diesem verbunden, können dadurch Sicherheitsrisiken und andere Risiken für das verbundene System entstehen, für die Dell EMC nicht verantwortlich ist.  
• Über das Einrichten eines separaten Verwaltungs-Subnetzes für iDRACs hinaus sollten Benutzer das Verwaltungs-Subnetz/vLAN mit Technologien wie Firewalls schützen und den Zugriff auf das Subnetz/vLAN auf autorisierte Server-Administratoren beschränken.
• Dell EMC empfiehlt, dass Kunden die Faktoren der Bereitstellung berücksichtigen, die für Ihre Umgebung relevant sind, um das Gesamtrisiko zu bewerten.

Link zu den empfohlenen Maßnahmen:

Kunden können iDRAC-Firmware für PowerEdge-Server und für alle anderen Plattformen herunterladen; wählen Sie die Plattform auf der Dell Support-Website aus.

Danksagung:

CVE-2018-15776: Dell EMC möchte Jon Sands und Adam Nielsen dafür danken, dass sie uns dieses Problem gemeldet haben.

Dell EMC empfiehlt allen Benutzern die Anwendbarkeit dieser Informationen auf ihre individuellen Situationen zu prüfen und entsprechende Maßnahmen einzuleiten. Die hier festgelegte Information werden „wie besehen“ bereitgestellt, ohne jegliche Gewährleistung. Dell EMC übernimmt keinerlei Garantien, ausdrücklicher oder stillschweigender Art, einschließlich der Garantien der Marktgängigkeit, Eignung für einen bestimmten Zweck, des Rechtsanspruches oder der Nichtverletzung von Rechten Dritter. In keinem Fall sind Dell EMC oder seine Lieferanten haftbar für Schäden jeglicher Art, einschließlich direkter oder indirekter Schäden, beiläufig entstandene oder Folgeschäden, entgangene Gewinne oder Sonderschäden, auch dann nicht, wenn Dell EMC oder seine Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. In einigen Staaten ist der Ausschluss oder die Beschränkung der Haftung für Folgeschäden oder beiläufig entstandene Schäden nicht zulässig, deshalb ist die vorstehende Einschränkung möglicherweise nicht relevant.