PowerEdge: Diverse vulnerabilità di Dell EMC iDRAC (CVE-2018-15774 e CVE-2018-15776)

ID CVE: CVE-2018-15774, CVE-2018-15776

Gravità: Prodotti mediamente

interessati:

• Versioni di Dell EMC iDRAC7/iDRAC8 precedenti alla 2.61.60.60 (CVE-2018-15774 e CVE-2018-15776)
• Versioni di Dell EMC iDRAC9 precedenti alla 3.20.21.20, 3.21.24.22, 3.21.26.22 e 3.23.23.23 (CVE-2018-15774)

Summary: 
Dell EMC iDRAC è stato aggiornato per risolvere diverse vulnerabilità che possono essere potenzialmente sfruttate per compromettere i sistemi interessati.
 
Dettagli 

• Vulnerabilità legata all'escalation dei privilegi (CVE-2018-15774)

• Vulnerabilità legata alla gestione impropria degli errori (CVE-2018-15776)

.

Risoluzione:   
Le seguenti versioni firmware di Dell EMC iDRAC contengono le risoluzioni per queste vulnerabilità:

Dell Technologies consiglia a tutti i clienti di eseguire l'upgrade il prima possibile. 

Procedure consigliate di Dell EMC relative a iDRAC:

Oltre all'aggiornamento del firmware iDRAC, Dell EMC consiglia anche quanto riportato di seguito:

• iDRAC non è progettato né destinato alla pubblicazione o connessione a Internet, ma a una rete di gestione separata. La pubblicazione o la connessione diretta di iDRAC a Internet potrebbe esporre il sistema connesso a rischi legati alla sicurezza e di altro tipo per i quali Dell EMC non è responsabile.  
• Oltre a posizionare iDRAC in una sottorete di gestione separata, gli utenti dovrebbero isolare la sottorete di gestione/vLAN con tecnologie come i firewall e limitarne l'accesso agli amministratori del server autorizzati.
• Dell Technologies consiglia ai clienti di prendere in considerazione eventuali fattori di deployment che potrebbero essere rilevanti per il proprio ambiente per valutare il rischio complessivo.

Collegamento alle soluzioni:

I clienti possono scaricare il firmware iDRAC per i server PowerEdge e selezionare la piattaforma dal sito del supporto Dell per tutte le altre piattaforme.

Ringraziamenti:

CVE-2018-15776: Dell EMC ringrazia Jon Sands e Adam Nielsen per averci segnalato questo problema.

Dell Technologies consiglia a tutti gli utenti di determinare l'applicabilità di queste informazioni alle proprie situazioni individuali e di intraprendere le azioni appropriate. Le informazioni qui illustrate sono fornite "così come sono", senza esprimere alcuna garanzia in merito. Dell EMC declina tutte le garanzie, esplicite o implicite, incluse le garanzie di commerciabilità, idoneità per uno scopo specifico, titolarità e non violazione. In nessuna circostanza, Dell EMC o i suoi fornitori saranno ritenuti responsabili per danni di qualsivoglia natura, inclusi danni diretti, indiretti, accidentali, consequenziali, perdita di utili o danni speciali, anche qualora Dell EMC o i suoi fornitori siano stati informati della possibilità di tali danni. In alcune giurisdizioni e paesi l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali non è ammessa, pertanto le esclusioni di responsabilità e le limitazioni precedenti non sono applicabili.