PowerEdge: Várias vulnerabilidades do Dell EMC iDRAC (CVE-2018-15774 e CVE-2018-15776)

Identificador de CVE: CVE-2018-15774, CVE-2018-15776

Gravidade: Médio

Produtos afetados:

• Versões do Dell EMC iDRAC7/iDRAC8 anteriores à 2.61.60.60 (CVE-2018-15774 e CVE-2018-15776)
• Versões do Dell EMC iDRAC9 anteriores às versões 3.20.21.20, 3.21.24.22, 3.21.26.22 e 3.23.23.23 (CVE-2018-15774)

Summary: 
O Dell EMC iDRAC foi atualizado para lidar com várias vulnerabilidades que poderiam ser potencialmente exploradas para comprometer os sistemas afetados.
 
Detalhes: 

• Vulnerabilidade de atendimento de segundo nível com privilégio (CVE-2018-15774)

• Vulnerabilidade de tratamento de erros inadequado (CVE-2018-15776)

.

Resolução:   
Estas versões de firmware do Dell EMC iDRAC contêm resoluções para essas vulnerabilidades:

A Dell Technologies recomenda que todos os clientes façam upgrade o mais rápido possível. 

Melhores práticas da Dell EMC com relação ao iDRAC:

Além de manter o firmware do iDRAC atualizado, a Dell EMC também recomenda o seguinte:

• Os iDRACs não são projetados nem destinados para serem colocados na Internet ou conectados a ela; eles devem ficar em uma rede de gerenciamento separada. Colocar iDRACs na Internet ou conectá-los a ela diretamente pode expor o sistema conectado à segurança e a outros riscos pelos quais a Dell EMC não se responsabiliza.  
• Além de colocar os iDRACs em uma sub-rede de gerenciamento separada, os usuários devem isolar a vLAN/sub-rede de gerenciamento com o auxílio de tecnologias, tais como firewalls, e limitar o acesso à vLAN/sub-rede para os administradores de servidor autorizados.
• A Dell Technologies recomenda que os clientes considerem quaisquer fatores de implementação que possam ser relevantes para seu ambiente para avaliar o risco geral.

Link para as correções:

Os clientes podem fazer download do firmware do iDRAC para servidores PowerEdge e, para todas as outras plataformas, selecionar a plataforma no site de suporte da Dell.

Crédito:

CVE-2018-15776: A Dell EMC gostaria de agradecer a Jon Sands e Adam Nielsen por relatarem esse problema para nós.

A Dell Technologies recomenda que todos os usuários determinem a aplicabilidade dessas informações a suas situações individuais e tomem as medidas apropriadas. As informações contidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Dell EMC se isenta de todas as garantias, expressas ou implícitas, inclusive garantias de comercialização, adequação a uma finalidade específica, título e não violação. Em nenhuma circunstância, a Dell EMC ou seus fornecedores serão responsabilizados por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, perda de lucros comercial ou danos especiais, mesmo que a Dell EMC ou seus fornecedores tenham sido alertados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, por isso a limitação acima pode não se aplicar.