VxRail: Kundensicherheitsscan gibt Sicherheitslücke in VNC auf VxRail zurück: "Der Remote-VNC-Server erfordert keine Authentifizierung"

Wenn der Kunde einen Sicherheitsscan durchführt, wird eine Sicherheitslücke in VNC auf VxRail zurückgegeben und die Meldung wird möglicherweise als ähnlich angezeigt wie "Der Remote-VNC-Server erfordert keine Authentifizierung".

In diesem speziellen Fall verwendete der Kunde die Sicherheitssoftware Tenable Nessus. Ein schwacher Hinweis auf diese Verwundbarkeit ist https://www.tenable.com/plugins/index.php?view=single&id=26925, in dem es heißt:

** Der VNC-Server leitet den verbundenen Nutzer manchmal zum XDM-Anmeldebildschirm
** weiter. Leider kann Nessus diese Situation nicht erkennen.
** In einem solchen Fall ist es nicht möglich, ohne gültige
** Anmeldeinformationen fortzufahren, und diese Warnung kann ignoriert werden.

Der VNC-Server auf VxRail Manager wird erst nach der Aktivierung von ESRS aktiviert und kann nur über den sicheren EMC Supportkanal aufgerufen werden, der dann zur XDM-Anmeldung auf VxRail umgeleitet wird.

Bei VxRail leitet der VNC-Server den verbundenen Nutzer tatsächlich zur XDM-Anmeldung weiter und kann ohne gültige Zugangsdaten nicht weitermachen.