일반적인 취약성 및 노출에 대한 Dell EMC의 대응 - CVE-2019-9506

[2019년 8월 13일]
개요

다음은 CVE-2019-9506에 대한 Dell EMC의 대응입니다.

기술 요약

Bluetooth BR/EDR 암호화 키 협상 프로토콜은 인증되지 않은 사용자가 암호화 키의 엔트로피 크기를 줄일 수 있는 패킷 삽입에 취약하여 인접 액세스를 통해 정보 공개 및/또는 권한 에스컬레이션을 유발할 수 있습니다. 현재 이것이 악용되고 있다는 지식은 없습니다.

여기에 언급된 CVE(Common Vulnerabilities and Exposures)에 대한 자세한 내용은 http://nvd.nist.gov/home.cfm 의 National Vulnerability Database(NVD)를 참조하십시오. 특정 CVE를 검색하려면 http://web.nvd.nist.gov/view/vuln/search 에서 데이터베이스의 검색 유틸리티를 사용하십시오.

Dell EMC 대응

조치위 CVE는 설계 및 용도에 따라 "iDRAC Quick Sync 2" 옵션에는 적용되지 않습니다.  iDRAC Quick Sync 2 솔루션은 BLE(Bluetooth Low Energy)를 사용하며 Bluetooth 클래식 연결을 비활성화합니다.  CVE-2019-9506은 Bluetooth BR/EDR 연결에만 해당됩니다.  Quick Sync 2는 BLE 관련 연결만 허용합니다.   또한 Quick Sync 2는 Bluetooth 사양에 정의된 표준 보안 메커니즘을 사용하지 않습니다.   Dell EMC 솔루션은 "Just Works"(인증 없음) 페어링 방법을 사용합니다.  모든 보안(인증 및 암호화)은 애플리케이션 계층 수준에서 Dell 독점 프로토콜을 사용하여 수행됩니다.

다음 표는 서버 세대 및 Dell EMC 응답별 다양한 iDRAC 펌웨어 버전을 보여줍니다.  

 

iDRAC	iDRAC 펌웨어 버전	대상 릴리스 날짜	Dell EMC 대응 조치
iDRAC9	3.00.00.00 이상	N/A	영향을 받지 않음(BLE만 사용)
iDRAC8	모두	N/A	블루투스를 사용하지 않습니다.
iDRAC7	모두	N/A	블루투스를 사용하지 않습니다.
iDRAC6	모두	N/A	블루투스를 사용하지 않습니다.

iDRAC

에 관한 Dell EMC 모범 사례Dell EMC는 iDRAC 펌웨어를 최신 상태로 유지하고 브라우저에서 낮은 프로토콜을 비활성화하는 것 외에도 다음과 같이 조언합니다.

• iDRAC는 별도의 관리 네트워크에 배치하거나 인터넷에 배치 또는 연결하도록 설계 또는 의도되지 않았습니다.  iDRAC를 직접 인터넷에 직접 배치하거나 연결하면 Dell EMC가 책임을 지지 않는 보안 및 기타 위험에 시스템이 노출될 수 있습니다.   
• 별도의 관리 서브넷에 iDRAC를 배치하는 것과 함께, 사용자는 방화벽과 같은 기술을 사용하여 관리 서브넷/vLAN을 격리하고 서브넷/vLAN에 대한 액세스를 자격이 있는 서버 관리자로 제한해야 합니다.

법률 정보:

Dell은 모든 사용자가 이 정보를 개별 상황에 적용할 수 있는지 판단하고 적절한 조치를 취할 것을 권장합니다. 여기에 언급된 정보는 어떠한 보증도 없이 "있는 그대로" 제공됩니다. Dell은 상품성, 특정 목적에의 적합성, 권한, 비침해성을 비롯하여 명시적이거나 묵시적인 어떠한 보증도 부인합니다. 어떠한 경우에도 Dell 또는 관련 제공업체는 직접적, 간접적, 우연적, 결과적, 업무 손실, 특정 손상을 비롯하여 어떠한 피해에 대해서도 책임을 지지 않습니다. 이는 Dell 또는 관련 제공업체가 그런 피해의 가능성에 대해 알고 있었던 경우에도 마찬가지입니다. 일부 주에서는 결과적이거나 우발적인 피해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 상기의 제한이 적용되지 않을 수도 있습니다.

PowerEdge, iDRAC7 with Lifecycle Controller Version 2.13.13.12, iDRAC7 with Lifecycle Controller Version 2.15.10.10, iDRAC7/8 with Lifecycle Controller Version 2.52.52.52, iDRAC7/8 with Lifecycle Controller Version 2.63.60.61 , iDRAC7/8 with Lifecycle Controller Version 2.63.60.62, iDRAC7 Version 1.65.65, iDRAC7 Version 1.66.65, iDRAC8 with Lifecycle Controller Version 2.12.12.12, iDRAC8 with Lifecycle Controller Version 2.14.14.12, iDRAC8 with Lifecycle Controller Version 2.17.17.13, iDRAC8 with Lifecycle Controller Version 2.04.02.01, iDRAC8 with Lifecycle Controller Version 2.05.05.05 ... View More about warranties View Less about warranties