Várias vulnerabilidades do Dell EMC iDRAC (CVE-2018-15774 e CVE-2018-15776)

• Versões do Dell EMC iDRAC7/iDRAC8 anteriores à 2.61.60.60 (CVE-2018-15774 e CVE-2018-15776)
• Versões do Dell EMC iDRAC9 anteriores às versões 3.20.21.20, 3.21.24.22, 3.21.26.22 e 3.23.23.23 (CVE-2018-15774)

• Vulnerabilidade de atendimento de segundo nível com privilégio (CVE-2018-15774)

• Vulnerabilidade de tratamento de erros inadequado (CVE-2018-15776)

Nota: Outros modelos do iDRAC não são afetados pelas vulnerabilidades detalhadas acima.

Resolução:   
Estas versões de firmware do Dell EMC iDRAC contêm resoluções para essas vulnerabilidades:

Nota: Disponível a partir da data da publicação.

A Dell EMC recomenda que todos os clientes façam a atualização o mais rápido possível. 

Melhores práticas da Dell EMC com relação ao iDRAC:

Além de manter o firmware do iDRAC atualizado, a Dell EMC também recomenda o seguinte:

• Os iDRACs não são projetados nem destinados para serem colocados na Internet ou conectados a ela; eles devem ficar em uma rede de gerenciamento separada. Colocar iDRACs na Internet ou conectá-los a ela diretamente pode expor o sistema conectado à segurança e a outros riscos pelos quais a Dell EMC não se responsabiliza.  
• Além de colocar os iDRACs em uma sub-rede de gerenciamento separada, os usuários devem isolar a vLAN/sub-rede de gerenciamento com o auxílio de tecnologias, tais como firewalls, e limitar o acesso à vLAN/sub-rede para os administradores de servidor autorizados.
• A Dell EMC recomenda que os clientes levem em conta os fatores de implementação relevantes a seus ambientes para avaliar o risco geral.

Link para as correções:

Os clientes podem fazer download do firmware do iDRAC para servidores PowerEdge. Para todas as outras plataformas, é necessário selecionar a plataforma no site de suporte da Dell.

Crédito:

CVE-2018-15776: A Dell EMC gostaria de agradecer a Jon Sands e Adam Adams por relatar esse problema para nós.

A Dell EMC recomenda que todos os usuários determinem a aplicabilidade dessa informação às situações individuais e que tomem as medidas apropriadas. As informações contidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Dell EMC se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comerciabilidade, adequação a um propósito específico, título e não-violação. Em nenhuma circunstância, a Dell EMC ou seus fornecedores serão responsabilizados por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, perda de lucros comercial ou danos especiais, mesmo que a Dell EMC ou seus fornecedores tenham sido alertados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, por isso a limitação acima pode não se aplicar.