一般的な脆弱性識別子に対するDell EMCの対応 - CVE-2019-9506

[2019年8月13日]
概要

以下は、CVE-2019-9506に対するDell EMCの対応です

技術概要

Bluetooth BR/EDR暗号化キー ネゴシエーション プロトコルはパケット インジェクションに対して脆弱であり、認証されていないユーザーが暗号化キーのエントロピーのサイズを小さくし、隣接アクセスを介して情報漏えいや権限のエスカレーションを引き起こす可能性があります。現在のところ、これが悪用されているという知識はありません

ここに記載されている共通脆弱性識別子(CVE)の詳細については、 http://nvd.nist.gov/home.cfm のNational Vulnerability Database (NVD)を参照してください。特定のCVEを検索するには、http://web.nvd.nist.gov/view/vuln/search.

にあるデータベースの検索ユーティリティーを使用します。Dell EMCの対応

上記のCVEは、その設計および使用目的から、「iDRAC Quick Sync 2」オプションには適用されません。  iDRAC Quick Sync 2ソリューションはBluetooth Low Energy(BLE)を使用し、Bluetoothクラシック接続を無効にします。  CVE-2019-9506は、Bluetooth BR/EDR接続に固有のものです。  Quick Sync 2では、BLE固有の接続のみが許可されます。   また、Quick Sync 2は、Bluetooth仕様で定義されている標準のセキュリティ メカニズムを使用しません。   Dell EMCソリューションでは、「Just Works」(認証なし)ペアリング方式を使用します。  すべてのセキュリティ(認証と暗号化)は、Dell独自のプロトコルを使用してアプリケーション レイヤー レベルで実行されます

次の表は、サーバー世代別のさまざまなiDRACファームウェア バージョンとDell EMCからの回答を示しています。  

 

iDRAC	iDRACのファームウェア バージョン	リリース予定日	Dell EMCの対応
iDRAC9	3.00.00.00 以降	なし	影響を受けない(BLEのみを使用)
iDRAC8	すべて	なし	Bluetoothを使用しません
iDRAC7	すべて	なし	Bluetoothを使用しません
iDRAC6	すべて	なし	Bluetoothを使用しません

iDRACに関するDell EMCのベスト プラクティス

Dell EMCでは、iDRACファームウェアを最新の状態に維持し、ブラウザーで下位プロトコルを無効にすることに加えて、次のことを推奨しています。

• iDRACは、インターネットから利用したり接続するようには設計されておらず、またそのように意図されてもいません。独立した管理ネットワークで使用するように意図されています。  iDRACをインターネットから利用するか、直接インターネットに接続した場合、接続したシステムがセキュリティーの問題を始めとするリスクにさらされる可能性があり、Dell EMCはこのことに関して責任を負いません。   
• 独立した管理サブネットでiDRACを使用するのと同時に、ファイアウォールなどのテクノロジーを使用して管理サブネット/vLANを分離し、また管理サブネット/vLANへのアクセスは権限のあるサーバー管理者に限定するようにしてください。

法的情報:

Dellでは、すべてのユーザーが個々の状況にこの情報が当てはまるかどうかを判断し、適切な措置を講じることをお勧めします。ここに記載されている情報は「現状のまま」提供され、いかなる保証も伴いません。デルは、市販性、特定目的への適合性、権原、および非侵害の保証を含む、明示的か黙示的かを問わず、すべての保証を放棄します。デルとそのサプライヤーは、当該損害の可能性について報告を受けていたとしても、直接的、間接的、付随的、派生的な損害、営業利益の損失、または特別な損害を含むあらゆる損害について、いかなる場合も一切の責任を負いません。一部の州では、派生的な損害または付随的な損害の免責または責任の制限が認められていません。このため、前述の制限が適用されないことがあります。

PowerEdge, iDRAC7 with Lifecycle Controller Version 2.13.13.12, iDRAC7 with Lifecycle Controller Version 2.15.10.10, iDRAC7/8 with Lifecycle Controller Version 2.52.52.52, iDRAC7/8 with Lifecycle Controller Version 2.63.60.61 , iDRAC7/8 with Lifecycle Controller Version 2.63.60.62, iDRAC7 Version 1.65.65, iDRAC7 Version 1.66.65, iDRAC8 with Lifecycle Controller Version 2.12.12.12, iDRAC8 with Lifecycle Controller Version 2.14.14.12, iDRAC8 with Lifecycle Controller Version 2.17.17.13, iDRAC8 with Lifecycle Controller Version 2.04.02.01, iDRAC8 with Lifecycle Controller Version 2.05.05.05 ... View More about warranties View Less about warranties