PowerEdge: Vícenásobné chyby zabezpečení řadiče Dell EMC iDRAC (CVE-2018-15774 a CVE-2018-15776)

Identifikátor CVE: CVE-2018-15774, CVE-2018-15776

Závažnost: Středněpostižené

produkty:

• Řadič Dell EMC iDRAC7/iDRAC8 před verzí 2.61.60.60 (CVE-2018-15774 a CVE-2018-15776)
• Řadič Dell EMC iDRAC9 před verzí 3.20.21.20, 3.21.24.22, 3.21.26.22 a 3.23.23.23 (CVE-2018-15774)

Shrnutí: 
Řadič Dell EMC iDRAC byl aktualizován za účelem odstranění vícenásobných chyb zabezpečení, které mohou být potenciálně zneužity k ohrožení dotčených systémů.
 
Podrobnosti: 

• Zranitelnost elevace oprávnění (CVE-2018-15774)

• Zranitelnost nesprávného zacházení s chybami (CVE-2018-15776)

.

Řešení:   
Následující verze firmwaru řadiče Dell EMC iDRAC obsahují řešení těchto zranitelností:

Společnost Dell Technologies doporučuje všem zákazníkům provést upgrade při nejbližší příležitosti. 

Osvědčené postupy společnosti Dell EMC týkající se řadiče iDRAC:

Společnost Dell EMC kromě udržování aktuálního firmwaru řadiče iDRAC doporučuje následující opatření:

• Řadiče iDRAC nejsou určeny k umisťování nebo připojování k internetu, jsou určeny k používání v oddělené síti pro správu. V důsledku přímého umístění nebo připojení řadiče iDRAC k internetu může dojít k vystavení připojeného systému bezpečnostním nebo jiným rizikům, za které společnost Dell EMC neodpovídá.  
• Kromě umístění řadičů iDRAC do samostatné sítě pro správu by uživatelé měli také izolovat podsíť pro správu / síť vLAN pomocí technologií jako jsou brány firewally a omezit přístup k podsíti / síti vLAN pouze pro oprávněné správce serveru.
• Společnost Dell Technologies doporučuje, aby zákazníci zvážili všechny faktory nasazení, které mohou být relevantní pro jejich prostředí, a mohli tak posoudit své celkové riziko.

Odkaz na opravné prostředky:

Zákazníci si mohou stáhnout firmware řadiče iDRAC pro servery PowerEdge a pro všechny ostatní platformy vybrat platformu na webu podpory společnosti Dell.

Poděkování:

CVE-2018-15776: Společnost Dell EMC by ráda poděkovala Jonu Sandsovi a Adamu Nielsenovi za nahlášení tohoto problému.

Společnost Dell Technologies doporučuje všem uživatelům, aby zvážili použitelnost těchto informací ve své individuální situaci a podnikli příslušné kroky. Informace uvedené zde jsou poskytovány „tak, jak jsou“, bez záruky jakéhokoli druhu. Společnost Dell EMC se zříká veškerých záruk, výslovných nebo předpokládaných, včetně záruk obchodovatelnosti, vhodnosti pro určitý účel, nároku a neporušení práv. Společnost Dell EMC ani její dodavatelé neponesou v žádném případě odpovědnost za jakékoli škody včetně přímých, nepřímých, neúmyslných či následných škod, ztráty podnikových zisků nebo zvláštních škod, i pokud byli společnost Dell EMC nebo její dodavatelé na možnost vzniku takových škod upozorněni. Některé státy nepovolují vyloučení či omezení odpovědnosti u následných nebo neúmyslných škod, výše uvedená omezení tedy nemusí být vždy platná.