Diverse vulnerabilità di Dell EMC iDRAC (CVE-2018-15774 e CVE-2018-15776)

• Versioni di Dell EMC iDRAC7/iDRAC8 precedenti alla 2.61.60.60 (CVE-2018-15774 e CVE-2018-15776)
• Versioni di Dell EMC iDRAC9 precedenti alla 3.20.21.20, 3.21.24.22, 3.21.26.22 e 3.23.23.23 (CVE-2018-15774)

• Vulnerabilità legata all'escalation dei privilegi (CVE-2018-15774)

• Vulnerabilità legata alla gestione impropria degli errori (CVE-2018-15776)

Nota: Altri modelli di iDRAC non sono interessati dalle vulnerabilità descritte in precedenza.

Risoluzione:   
Le seguenti versioni firmware di Dell EMC iDRAC contengono le risoluzioni per queste vulnerabilità:

Nota: Disponibile alla data di pubblicazione.

Dell EMC consiglia a tutti i clienti di effettuare l'aggiornamento il più presto possibile. 

Procedure consigliate di Dell EMC relative a iDRAC:

Oltre all'aggiornamento del firmware iDRAC, Dell EMC consiglia anche quanto riportato di seguito:

• iDRAC non è progettato né destinato alla pubblicazione o connessione a Internet, ma a una rete di gestione separata. La pubblicazione o la connessione diretta di iDRAC a Internet potrebbe esporre il sistema connesso a rischi legati alla sicurezza e di altro tipo per i quali Dell EMC non è responsabile.  
• Oltre a posizionare iDRAC in una sottorete di gestione separata, gli utenti dovrebbero isolare la sottorete di gestione/vLAN con tecnologie come i firewall e limitarne l'accesso agli amministratori del server autorizzati.
• Dell EMC consiglia ai clienti di tenere conto di ogni fattore di implementazione che possa essere rilevante per il loro ambiente operativo al fine di valutare il rischio complessivo.

Collegamento alle soluzioni:

I clienti possono scaricare il firmware iDRAC per i server PowerEdge e per tutte le altre piattaforme; selezionare la piattaforma dal sito del supporto Dell.

Ringraziamenti:

CVE-2018-15776: Dell EMC desidera ringraziare Jon Sands e Adam – che ci hanno segnalato questo problema.

Dell EMC consiglia a tutti gli utenti di valutare l'applicabilità di queste informazioni per le rispettive situazioni specifiche e di intraprendere azioni appropriate. Le informazioni qui illustrate sono fornite "così come sono", senza esprimere alcuna garanzia in merito. Dell EMC nega tutte le garanzie e responsabilità, espresse o implicite, comprese eventuali garanzie di commerciabilità, idoneità per finalità particolari, titolo e non violazione. In nessuna circostanza, Dell EMC o i suoi fornitori saranno ritenuti responsabili per danni di qualsivoglia natura, inclusi danni diretti, indiretti, accidentali, consequenziali, perdita di utili o danni speciali, anche qualora Dell EMC o i suoi fornitori siano stati informati della possibilità di tali danni. In alcune giurisdizioni e paesi l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali non è ammessa, pertanto le esclusioni di responsabilità e le limitazioni precedenti non sono applicabili.