DSA-2019-028: Várias vulnerabilidades do iDRAC da Dell Technologies

ID de DSA: Identificador CVE DSA-2019-028

: CVE-2019-3705, CVE-2019-3706 e CVE-2019-3707

Gravidade: Classificação de gravidade alta

: Consulte a seção Detalhes abaixo das pontuações individuais do CVSS para cada CVE.
                         
Produtos afetados:
 

• Versões do Dell Technologies iDRAC6 anteriores à 2.92 (CVE-2019-3705)
• Versões do Dell Technologies iDRAC7/iDRAC8 anteriores à 2.61.60.60 (CVE-2019-3705)
• Versões do Dell Technologies iDRAC9 anteriores a 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 e CVE-2019-3707) da Dell Technologies

Detalhes:  

• Vulnerabilidade de estouro de buffer (CVE-2019-3705)
   

• Vulnerabilidade de bypass da autenticação de interface da Web (CVE-2019-3706)

• Vulnerabilidade de bypass de autenticação WS-MAN (CVE-2019-3707)

As seguintes versões de firmware do iDRAC da Dell Technologies contêm resoluções para essas vulnerabilidades:
 

A Dell Technologies recomenda que todos os clientes façam upgrade o mais rápido possível.  

Práticas recomendadas da Dell em relação ao iDRAC:

além de manter o firmware do iDRAC atualizado, a Dell também recomenda o seguinte:

• Os iDRACs não foram projetados nem se destinam a ser colocados na Internet ou conectados a ela; eles devem estar em uma rede de gerenciamento separada. Colocar ou conectar os iDRACs diretamente à Internet pode expor o sistema conectado a riscos de segurança e outros riscos pelos quais a Dell não é responsável.   
• Além de colocar os iDRACs em uma sub-rede de gerenciamento separada, os usuários devem isolar a vLAN/sub-rede de gerenciamento com o auxílio de tecnologias, tais como firewalls, e limitar o acesso à vLAN/sub-rede para os administradores de servidor autorizados.
• A Dell Technologies recomenda que os clientes considerem quaisquer fatores de implementação que possam ser relevantes para seu ambiente para avaliar o risco geral.

Link para soluções:

os clientes podem fazer download do firmware do iDRAC para servidores PowerEdge. Para todas as outras plataformas, selecione-a no site de suporte da Dell.


A Dell Technologies recomenda que todos os usuários determinem a aplicabilidade dessas informações a suas situações individuais e tomem as medidas apropriadas. As informações contidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Dell se isenta de todas as garantias, expressas ou implícitas, inclusive garantias de comercialização, adequação a uma finalidade específica, título e não violação. Em nenhuma circunstância, a Dell ou seus fornecedores serão responsabilizados por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Dell ou seus fornecedores tenham sido alertados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, por isso a limitação acima pode não se aplicar.