Skip to main content
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Enjoy members-only rewards and discounts
  • Create and access a list of your products
  • Manage your Dell EMC sites, products, and product-level contacts using Company Administration.

Dell EMC iDRAC Meerdere kwetsbaarheden (CVE-2018-15774 en CVE-2018-15776)

Summary: Dell EMC begeleiding om risico's voor de verschillende kwetsbaarheden van iDRAC te beperken en oplossingen te bieden. Raadpleeg deze handleiding voor specifieke informatie over de getroffen iDRAC-versies en de vervolgstappen voor het toepassen van updates. ...

This article may have been automatically translated. If you have any feedback regarding its quality, please let us know using the form at the bottom of this page.

Article Content


Symptoms

CVE-identifier: CVE-2018-15774, CVE-2018-15776

Prioriteit: Producten

met een gemiddeld probleem:
  • Dell EMC iDRAC7/iDRAC8-versies vóór 2.61.60.60 (CVE-2018-15774 en CVE-2018-15776)
  • Dell EMC iDRAC9 versies vóór 3.20.21.20, 3.21.24.22 3.21.26.22 en 3.23.23.23 (CVE-2018-15774)
Samenvatting
Dell EMC iDRAC is bijgewerkt om meerdere kwetsbaarheden op te lossen die kunnen worden gebruikt om misbruik te maken van de systemen waarin dit probleem optreedt.
 
Details
  • Kwetsbaarheden in de escalatie van privileges (CVE-2018-15774)
Dell EMC iDRAC7/iDRAC8-versies vóór 2.61.60.60 en iDRAC9 versies vóór 3.20.21.20, 3.21.24.22, 3.21.26.22 en 3.23.23.23 bevatten een kwetsbaarheid in de escalatie van privileges. Een geverifieerde kwaadaardige iDRAC-gebruiker met toegangsrechten een fout in de machtigingen van de Redfish-interface gebruiken om beheerderstoegang te krijgen.
 
 
  • Kwetsbaarheden in de onjuiste verwerking van fouten (CVE-2018-15776)
Dell EMC iDRAC7/iDRAC8-versies vóór 2.61.60.60 bevatten kwetsbaarheden in de onjuiste verwerking van fouten. Een ongeautoriseerde aanvaller met fysieke toegang tot het systeem kan deze zwakke plek gebruiken om toegang tot de u-boot-shell te krijgen.
 
SLN315190_en_US__1icon Opmerking: Andere modellen van iDRAC worden niet beïnvloed door de hierboven beschreven beveiligingslekken.

Oplossing:   
De volgende versie van Dell EMC iDRAC-firmware bevat oplossingen voor deze beveiligingslekken:

 
iDRAC iDRAC-firmware versie

iDRAC9
3.20.21.20
3.21.24.22
3.21.26.22
3.23.23.23
iDRAC8 2.61.60.60
iDRAC7 2.61.60.60

 

SLN315190_en_US__1icon Opmerking: Beschikbaar vanaf de publicatiedatum.

Dell EMC raadt alle klanten aan om zo snel mogelijk te upgraden. 

Best Practices van Dell EMC met betrekking tot iDRAC:

Naast het up-to-date houden van iDRAC-firmware, adviseert Dell EMC ook het volgende:

  • iDRAC's zijn niet ontworpen of bedoeld om op het internet te worden geplaatst of hiermee te worden verbonden. Ze zijn een afzonderlijk beheernetwerk. Door een iDRAC op het internet te plaatsen of hierop aan te sluiten, kan het aangesloten systeem worden blootgesteld aan beveiligings- en andere risico's waar Dell EMC niet verantwoordelijk voor kan worden gehouden.  
  • Gebruikers moeten iDRAC's op een afzonderlijk beheer-subnet plaatsen en dit beheer-subnet/vLAN isoleren met technologieën zoals firewalls en toegang tot het subnet/vLAN beperken voor geautoriseerde beheerders.
  • Dell EMC adviseert klanten om naar de relevante implementatiefactoren voor hun omgeving te kijken en de algemene risico's in te schatten.

Koppeling naar oplossingen:

Klanten kunnen iDRAC firmware downloaden voor PowerEdge-servers en voor alle andere platforms. Selecteer het platform op de Dell Support website.


Krediet:

CVE-2018-15776: Dell EMC wil graag John Sands en Adam Nielsen bedanken voor het melden van dit probleem.

Dell EMC adviseert alle gebruikers om na te gaan of deze informatie voor hun eigen situatie geldt en passende maatregelen te nemen. De gegeven informatie is een feitelijke weergave van de situatie zonder enige vorm van garantie. Dell EMC wijst alle garanties, hetzij uitdrukkelijk of impliciet, af, inclusief de garanties van verhandelbaarheid, geschiktheid voor een bepaald doel, titel en niet-schending. Dell EMC of haar leveranciers kan in geen enkel geval aansprakelijk worden gesteld voor enige schade, inclusief directe, indirecte, incidentele schade, gevolgschade, winstderving of speciale schade, zelfs indien Dell EMC of haar leveranciers zijn gewezen op de mogelijkheid van dergelijke schade. In bepaalde Amerikaanse staten is uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toegestaan, waardoor de voornoemde beperking mogelijk niet van toepassing is.

Cause

 

Resolution



Article Properties


Affected Product

Hyper-converged Systems, Datacenter Scalable Solutions, PowerEdge, iDRAC7/8 with Lifecycle Controller Version 2.61.60.60, Precision 7920 Rack, Precision Rack 7910

Last Published Date

17 Dec 2021

Version

5

Article Type

Solution