DSA-2019-028: Dell Technologies iDRAC Meerdere kwetsbaarheden

DSA ID: DSA-2019-028

CVE-identifier: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707

Ernst: Hoge

prioriteit: Zie het gedeelte Details hieronder van individuele CVSS-scores voor elke CVE.
                         
Betreffende producten:
 

• Dell Technologies iDRAC6 versies ouder dan 2.92 (CVE-2019-3705)
• Dell Technologies iDRAC7/iDRAC8 versies ouder dan 2.61.60.60 (CVE-2019-3705)
• Dell Technologies iDRAC9 versies vóór 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 en CVE-2019-3707)

Details:  

• Beveiligingslek door bufferoverschrijding (CVE-2019-3705)
   

• Beveiligingslek met betrekking tot het omzeilen van webinterface-authenticatie (CVE-2019-3706)

• Beveiligingslek met betrekking tot het omzeilen van WS-MAN-authenticatie (CVE-2019-3707)

De volgende iDRAC-firmwarereleases van Dell Technologies bevatten oplossingen voor deze beveiligingslekken:
 

Dell Technologies raadt alle klanten aan om zo snel mogelijk te upgraden.  

Best practices van Dell met betrekking tot iDRAC:

Naast het up-to-date houden van de iDRAC-firmware adviseert Dell ook het volgende:

• iDRAC's zijn niet ontworpen en niet bedoeld om op internet te worden geplaatst of ermee te worden verbonden; Ze zijn bedoeld om op een apart beheernetwerk te staan. Door iDRACs rechtstreeks op internet te plaatsen of te verbinden, kan het aangesloten systeem worden blootgesteld aan beveiligingsrisico's en andere risico's waarvoor Dell niet verantwoordelijk is.   
• Gebruikers moeten iDRAC's op een afzonderlijk beheer-subnet plaatsen en dit beheer-subnet/vLAN isoleren met technologieën zoals firewalls en toegang tot het subnet/vLAN beperken voor geautoriseerde beheerders.
• Dell Technologies raadt klanten aan om alle implementatiefactoren die relevant kunnen zijn voor hun omgeving in overweging te nemen om hun algehele risico te beoordelen.

Koppeling naar oplossingen:

Klanten kunnen iDRAC-firmware downloaden voor PowerEdge servers. Voor alle andere platforms selecteert u het platform op de Dell Support website.


Dell Technologies raadt alle gebruikers aan om de toepasbaarheid van deze informatie op hun individuele situatie te bepalen en passende maatregelen te nemen. De gegeven informatie is een feitelijke weergave van de situatie zonder enige vorm van garantie. Dell wijst alle garanties, zowel expliciet als impliciet, af met inbegrip van de garanties van verkoopbaarheid, geschiktheid voor een bepaald doel, eigendom en niet-inbreukmakendheid. Dell of haar leveranciers kan in geen enkel geval aansprakelijk worden gesteld voor enige schade, inclusief directe, indirecte, incidentele schade, gevolgschade, winstderving of speciale schade, zelfs indien Dell of haar leveranciers zijn gewezen op de mogelijkheid van dergelijke schade. In bepaalde Amerikaanse staten is uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toegestaan, waardoor de voornoemde beperking mogelijk niet van toepassing is.