DSA-2019-028: Dell Technologies iDRACの複数の脆弱性

DSA ID：DSA-2019-028

CVE識別子: CVE-2019-3705、CVE-2019-3706、CVE-2019-3707

重大度: 重要度

高各CVEの個々のCVSSスコアについては、以下の「詳細」セクションを参照してください。
                         
対象製品:
 

• Dell Technologies iDRAC6 2.92より前のバージョン(CVE-2019-3705)
• 2.61.60.60より前のDell Technologies iDRAC7/iDRAC8バージョン(CVE-2019-3705)
• 3.30.30.30、3.20.21.20、3.21.24.22、3.21.26.22、3.23.23.23、3.24.24.24、3.22.22.22、3.21.25.22(CVE-2019-3705、CVE-2019-3706、CVE-2019-3707)より前のDell Technologies iDRAC9バージョン

詳細:  

• バッファー オーバーフロー脆弱性（CVE-2019-3705）
   

• Webインターフェイス認証のバイパスの脆弱性（CVE-2019-3706）

• WS-MAN認証のバイパスの脆弱性（CVE-2019-3707）

次のデル・テクノロジーズiDRACファームウェア リリースには、これらの脆弱性に対する解決策が含まれています。
 

デル・テクノロジーズでは、すべてのお客様にできるだけ早い機会にアップグレードすることをお勧めします。  

iDRACに関するDellのベスト プラクティス:

最新のiDRACファームウェアを維持することに加えて、Dellでは次のことをアドバイスしています。

• iDRACは、インターネット上に配置したり、インターネットに接続したりすることを設計または意図したものではありません。これらは、別の管理ネットワーク上に配置することを目的としています。iDRACをインターネットに直接配置または接続すると、接続されたシステムがセキュリティやその他のリスクにさらされる可能性があり、Dellはそのようなリスクに対して一切の責任を負いません。   
• 独立した管理サブネットでiDRACを使用するのと同時に、ファイアウォールなどのテクノロジーを使用して管理サブネット/vLANを分離し、また管理サブネット/vLANへのアクセスは権限のあるサーバー管理者に限定するようにしてください。
• デル・テクノロジーズでは、お客様の環境に関連する導入要因を検討して、全体的なリスクを評価することをお勧めします。

救済措置へのリンク:

お客様は 、PowerEdgeサーバー用のiDRACファームウェアをダウンロードできます。その他のすべてのプラットフォームについては、 Dellサポート サイトからプラットフォームを選択してください


デル・テクノロジーズでは、すべてのユーザーが個々の状況にこの情報が当てはまるかどうかを判断し、適切な措置を講じることをお勧めします。ここに記載されている情報は「現状のまま」提供され、いかなる保証も伴いません。Dellは、市販性、特定目的への適合性、権原、および非侵害の保証を含め、明示または黙示を問わず、すべての保証を放棄します。デルとそのサプライヤーは、当該損害の可能性について報告を受けていたとしても、直接的、間接的、付随的、派生的な損害、営業利益の損失、または特別な損害を含むあらゆる損害について、いかなる場合も一切の責任を負いません。一部の州では、派生的な損害または付随的な損害の免責または責任の制限が認められていません。このため、前述の制限が適用されないことがあります。