DSA-2019-028：Dell Technologies iDRAC 多个漏洞

DSA ID：DSA-2019-028CVE

标识符：CVE-2019-3705、CVE-2019-3706、CVE-2019-3707

严重性：高

严重性评级：请参阅下面每个 CVE 的各个 CVSS 分数的详细信息部分。
                         
受影响的产品：
 

• 低于 2.92 的 Dell Technologies iDRAC6 版本 （CVE-2019-3705）
• 2.61.60.60 之前的 Dell Technologies iDRAC7/iDRAC8 版本 （CVE-2019-3705）
• 3.30.30.30、3.20.21.20、3.21.24.22、3.21.26.22、3.23.23.23、3.24.24.24、3.22.22.22、3.21.25.22（CVE-2019-3705、CVE-2019-3706 和 CVE-2019-3707）之前的 Dell Technologies iDRAC9 版本

详细信息：  

• 缓冲区溢出漏洞 (CVE-2019-3705)
   

• Web 界面身份验证绕过漏洞 (CVE-2019-3706)

• WS-MAN 身份验证绕过漏洞 (CVE-2019-3707)

以下 Dell Technologies iDRAC 固件版本包含这些漏洞的解决方案：
 

Dell Technologies 建议所有客户尽早升级。  

有关 iDRAC 的戴尔最佳实践：

除了维护最新的 iDRAC 固件外，戴尔还建议以下事项：

• iDRAC 并非设计用于也无意置于互联网上或连接到互联网;它们应位于单独的管理网络上。将 iDRAC 直接放置或连接到互联网可能会使连接的系统面临安全风险和其他风险，戴尔对此概不负责。   
• 不仅让iDRAC处于独立的管理子网上，用户还应利用防火墙等技术隔离管理子网/vLAN，并且仅限经授权的服务器管理员能够访问该子网/vLAN。
• Dell Technologies 建议客户考虑可能与其环境相关的任何部署因素，以评估其总体风险。

补救措施链接：

客户可以下载 适用于 PowerEdge 服务器的 iDRAC 固件。对于所有其他平台，请从 戴尔支持站点中选择平台。


Dell Technologies 建议所有用户根据自己的具体情况确定此信息的适用性，并采取适当的措施。此处所述的信息按“原样”提供，不含任何形式的担保。戴尔拒绝做出任何明示或暗示的保证，包括适销性、特定用途适用性、权利和不侵权保证。任何情况下戴尔或其供应商不对包括直接、间接、偶然、必然损失、业务利润损失或特殊损失在内的任何损失承担责任，即使戴尔或其供应商已被告知发生此类损失的可能性也是如此。某些州不允许限制或排除对偶然或必然的损坏的责任，上述限制可能不适用。