DSA-ID: DSA-2019-028
CVE-identifierare: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707
Allvarlighetsgrad: Hög
Allvarlighetsgrad: se informationsavsnittet nedan för CVSS-poängen för respektive CVE
Berörda produkter:
- Dell EMC iDRAC6-versioner tidigare än 2.92 (CVE-2019-3705)
- Dell EMC iDRAC7-/iDRAC8-versioner tidigare än 2.61.60.60 (CVE-2019-3705)
- Dell EMC iDRAC9-versioner tidigare än 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22 och 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 och CVE-2019-3707)
Sammanfattning:
Dell EMC iDRAC har uppdaterats för att hantera flera säkerhetsproblem som potentiellt kan utnyttjas för att kompromettera de system som berörs.
Mer information:
- Buffertöverspillssäkerhetsproblem (CVE-2019-3705)
Dell EMC iDRAC6-versioner tidigare än 2.92, iDRAC7-/iDRAC8-versioner tidigare än 2.61.60.60 och iDRAC9-versioner tidigare än 3.20.21.20, 3.21.24.22, 3.21.26.22 och 3.23.23.23 innehåller ett stackbaserat buffertöverspillssäkerhetsproblem. Icke-autentiserade fjärrangripare kan utnyttja det här säkerhetsproblemet till att köra kod på datorn med webbserverbehörigheterna genom att skicka särskilt utformade indata till den.
CVSSv3-baspoäng: 8.1 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)
- Säkerhetsproblem med åsidosättande av webbgränssnittsautentisering (CVE-2019-3706)
Dell EMC iDRAC9-versioner tidigare än 3.24.24.24, 3.21.26.22, 3.22.22.22 och 3.21.25.22 innehåller ett säkerhetsproblem där det går att åsidosätta autentiseringen. Fjärrangripare kan utnyttja det här säkerhetsproblemet till att åsidosätta autentiseringen och få åtkomst till datorn genom att skicka särskilt utformade data till iDRAC-webbgränssnittet.
CVSSv3-baspoäng: 8.6 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H)
- Säkerhetsproblem med åsidosättande av WS-MAN-autentisering (CVE-2019-3707)
Dell EMC iDRAC9-version tidigare än 3.30.30.30 innehåller ett säkerhetsproblem där det går att åsidosätta autentiseringen. Fjärrangripare kan utnyttja det här säkerhetsproblemet till att åsidosätta autentiseringen och få åtkomst till datorn genom att skicka särskilt utformade indata till WS-MAN-gränssnittet.
CVSSv3-baspoäng: 8.6 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H)
Lösning:
Följande versioner av fast programvara för Dell EMC iDRAC innehåller lösningar på dessa säkerhetsproblem:
| iDRAC- |
Version av fast programvara för iDRAC |
| iDRAC9 |
3.20.21.20 |
| 3.21.24.22 |
| 3.21.26.22 |
| 3.23.23.23 |
| |
3.24.24.24 |
| |
3.22.22.22 |
| |
3.21.25.22 |
| |
3.30.30.30 |
| iDRAC8 |
2.61.60.60 |
| iDRAC7 |
2.61.60.60 |
| iDRAC6 |
2,92 |
Dell EMC rekommenderar att alla kunder uppgraderar så snart som möjligt.
Dells bästa metoder för iDRAC:
Förutom att uppdatera den fasta programvaran för iDRAC bör du även göra följande:
- iDRAC-plattformar är inte utformade eller avsedda för att placeras på eller anslutas till internet. De är avsedda att användas i ett separat hanteringsnätverk. Om du gör iDRAC-plattformar tillgängliga på internet utsätter du dem för säkerhetsrisker och andra risker som Dell inte ansvarar för.
- Utöver att placera iDRAC-plattformar i ett separat hanteringsdelnät ska användare isolera hanteringsdelnätet/vLAN med hjälp av tekniska lösningar, till exempel brandväggar, och begränsa åtkomst till delnätet/vLAN till godkända serveradministratörer.
- När du bedömer den allmänna risken bör du ta hänsyn till eventuella driftsättningsfaktorer som kan vara relevanta för din miljö.
Länk till åtgärder:
Du kan ladda ned fast programvara för iDRAC för
PowerEdge-servrar. För alla andra plattformar väljer du plattformen på
Dells supportwebbplats.
Dell rekommenderar att alla användare avgör huruvida den här informationen är tillämplig för deras enskilda situation och vidtar lämplig åtgärd. Informationen häri tillhandahålls ”i befintligt skick” utan garanti av något slag. Dell frånsäger sig alla garantier, vare sig uttryckliga eller underförstådda, inklusive garantier om säljbarhet, lämplighet för ett visst ändamål, titel och icke-intrång. Under inga omständigheter ska Dell eller dess leverantörer hållas ansvariga för några som helst skador, inklusive direkta och indirekta skador, följdskador, affärsförluster och särskilda skador, även om Dell eller dess leverantörer har informerats om risken för sådana skador. Eftersom vissa länder inte tillåter undantag eller begränsning av ansvar för indirekta skador eller följdskador kanske ovannämnda begränsning inte gäller.