Flere sikkerhetsproblemer med Dell EMC iDRAC (CVE-2018 15774 og CVE-2018 15776)

• Dell EMC iDRAC7/iDRAC8-versjoner før 2.61.60.60 (CVE-2018 15774 og CVE-2018 15776)
• Dell EMC iDRAC9-versjoner før 3.20.21.20, 3.21.24.22, 3.21.26.22 og 3.23.23.23 (CVE-2018-15774)

• Privilege Escalation Vulnerability (rettighetseskaleringssårbarhet) (CVE-2018-15774)

• Feilaktig feilhåndteringssårbarhet (CVE-2018-15776)

Merk: Andre modeller av iDRAC påvirkes ikke av sikkerhetsproblemene som er beskrevet ovenfor.

Løsning:   
Følgende iDRAC-fastvareutgaver for Dell EMC inneholder løsninger på disse sikkerhetsproblemene:

Merk: Tilgjengelig fra og med utgivelsesdatoen.

Dell EMC anbefaler at alle kunder oppgraderer snarest mulig. 

Anbefalt fremgangsmåte fra Dell EMC vedrørende iDRAC:

I tillegg til å holde iDRAC-fastvaren oppdatert, anbefaler Dell EMC også følgende:

• iDRAC-er er ikke designet eller ment for å utplasseres på eller kobles til Internett, de er ment å være tilkoblet et separat delnett for administrasjon. Utplassering eller tilkobling av iDRAC-er direkte til Internett kan utsette det tilkoblede systemet for sikkerhetsbrudd og andre sårbarheter som Dell EMC ikke er ansvarlig for.  
• I tillegg til bare å koble iDRAC-er til et separat delnett for administrasjon, bør brukerne isolere delnettet for administrasjon / vLAN-nettverket med teknologier som for eksempel brannmurer, og begrense tilgangen til delnettet/VLAN-nettverket til autorisert serveradministratorer.
• Dell EMC anbefaler at kunder tar hensyn til eventuelle distribusjonsfaktorer som kan være relevante for å vurdere den totale risikoen for miljøet deres.

Kobling til utbedringer:

Kundene kan laste ned iDRAC-fastvaren for PowerEdge-servere og alle andre plattformer ved å velge plattform fra Dells nettsted for kundestøtte.

Kreditt:

CVE-2018-15776: Dell EMC vil gjerne takke Jon Sands og Adam Nielsen for å ha rapportert dette problemet til oss.

Dell EMC anbefaler at alle brukere avgjør om denne informasjonen er aktuell for deres situasjon, og iverksetter nødvendige tiltak. Informasjonen som er angitt i dette dokumentet, leveres som den er uten garantier av noe slag. Dell EMC fraskriver seg alle garantier, både uttrykte og underforståtte, inkludert garantier om salgbarhet, egnethet for et bestemt formål, eiendomsrett og manglende overholdelse. Ikke under noen omstendigheter skal Dell EMC eller dets leverandører holdes ansvarlig for skader eller tap, inkludert direkte, indirekte eller tilfeldige skader, følgeskader, tap av inntekter eller spesielle skader, selv om Dell EMC eller deres leverandører er underrettet om muligheten for slike skader. Noen land tillater ikke at ansvar for følgeskader eller tilfeldige skader utelukkes eller begrenses, noe som betyr at ovennevnte begrensning ikke gjelder.