DSA-2019-065: DUP (Dell Update Package) -kehyksen hallitsemattoman hakupolun haavoittuvuus

Hallitsemattoman hakupolun haavoittuvuus (CVE-2019-3726)

Hallitsemattoman hakupolun haavoittuvuus koskee seuraavia:

• Dell EMC -palvelimissa käytetyt DUP (Dell Update Package) Framework -tiedostoversiot versiota 19.1.0.413 vanhemmat versiot ja versiota 103.4.6.69 vanhemmat Framework-tiedostoversiot.
• Dell Update Package (DUP) Framework -tiedostoversiot, jotka ovat vanhempia kuin 3.8.3.67 ja joita käytetään Dell-asiakasympäristöissä. 

Haavoittuvuus rajoittuu DUP-kehykseen sinä aikana, kun järjestelmänvalvoja suorittaa DUP-pakettia. Tänä aikana paikallisesti todennettu alhaisten käyttöoikeuksien haitallinen käyttäjä voi mahdollisesti hyödyntää tätä haavoittuvuutta huijaamalla järjestelmänvalvojan suorittamaan luotetun binaaritiedoston, jolloin se lataa haitallisen DLL:n ja sallii hyökkääjän suorittaa mielivaltaista koodia uhrijärjestelmässä. Haavoittuvuus ei vaikuta DUP:n toimittamaan varsinaiseen binäärihyötykuormaan.

CVSSv3-peruspisteet: 6.7 (AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H)

Tuotteet, joita asia koskee:

• Dell-asiakasympäristöt: Dell Update Packages (DUP) Framework -tiedostoversiot, jotka ovat vanhempia kuin 3.8.3.67.
• Dell EMC -palvelimet:
  • Verkko- ja kuitukanava-ajurit: Dell Update Package (DUP) Framework -tiedostoversiot, jotka ovat aiempia kuin 103.4.6.69
  • Kaikki muut ajurit, BIOS ja laiteohjelmistot: Dell Update Package (DUP) Framework -tiedostoversiota 19.1.0.413 aiemmat versiot

Korjaus:

Seuraavat DUP (Dell Update Package) -viitekehykset sisältävät haavoittuvuuden korjauksen:

• Dell-asiakasympäristöt:  Dell Update Package (DUP) Framework -tiedoston versio 3.8.3.67 tai uudempi
• Dell EMC -palvelimet – verkko- ja kuitukanavan ajurit: Dell Update Package (DUP) Framework -tiedoston versio 103.4.6.69 tai uudempi
• Dell EMC -palvelimet – kaikki muut ajurit, BIOS ja laiteohjelmisto:  Dell Update Package (DUP) -kehystiedoston versio 19.1.0.413 tai uudempi

Voit tarkistaa DUP Framework -tiedoston version napsauttamalla DUP-tiedostoa hiiren kakkospainikkeella, valitsemalla Ominaisuudet ja napsauttamalla Tiedot-välilehteä löytääksesi tiedoston versionumeron.

Asiakkaiden tulee käyttää uusimpaa, Dellin tuelta saatavaa DUP-pakettia päivittäessään järjestelmiään. Asiakkaiden ei tarvitse ladata ja suorittaa DUP-paketteja uudelleen, jos järjestelmässä on jo asennettuna BIOSin, laiteohjelmiston tai ohjaimen uusin sisältö.     

Dell suosittelee myös suorittamaan DUP-ohjelmistopaketit suojatusta sijainnista, jonka käyttö edellyttää järjestelmänvalvojan oikeuksia.

Dell suosittelee, että asiakkaat noudattavat haittaohjelmasuojauksen parhaita käytäntöjä. Asiakkaiden tulee käyttää haittaohjelmilta suojautumiseen tietoturvaohjelmistoa (kehittynyttä uhkien torjuntaohjelmistoa tai virustorjuntaohjelmistoa).