Dell EMC:n vastaus yleisiin haavoittuvuuksiin ja altistumisiin – CVE-2019-9506
Summary: Dell EMC:n vastaus yleisiin haavoittuvuuksiin ja altistumisiin – CVE-2019-9506
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Symptoms
[13. elokuuta 2019]
YLEISKATSAUS
Seuraavassa on Dell EMC:n vastaus haavoittuvuuteen CVE-2019-9506.
TEKNINEN YHTEENVETO
Bluetooth BR/EDR -salausavaimen neuvotteluprotokolla on altis pakettien ruiskutukselle, jonka avulla todentamaton käyttäjä voi pienentää salausavaimen entropian kokoa, mikä voi aiheuttaa tietojen paljastumista ja/tai käyttöoikeuksien eskaloitumista viereisen pääsyn kautta. Tällä hetkellä ei ole tietoa siitä, että tätä käytettäisiin hyväksi.
Lisätietoja tässä mainituista yleisistä haavoittuvuuksista ja altistumisista (CVE) on http://nvd.nist.gov/home.cfm:n kansallisessa haavoittuvuustietokannassa (NVD). Jos haluat etsiä tiettyä CVE:tä, käytä tietokannan hakutyökalua osoitteessa http://web.nvd.nist.gov/view/vuln/search.
Dell EMC:n vastaus
Edellä mainittu CVE ei koske iDRAC Quick Sync 2 -vaihtoehtoa sen rakenteen ja käyttötarkoituksen vuoksi. iDRAC Quick Sync 2 -ratkaisu käyttää Bluetooth Low Energy (BLE) -tekniikkaa ja poistaa käytöstä perinteiset Bluetooth-yhteydet. CVE-2019-9506 koskee erityisesti Bluetooth BR/EDR -yhteyttä. Quick Sync 2 sallii vain tietyt BLE-yhteydet. Quick Sync 2 ei myöskään käytä mitään Bluetooth-määrityksissä määritettyjä vakiosuojausmekanismeja. Dell EMC -ratkaisu käyttää Just Works (ei todennusta) -pariliitosmenetelmää. Kaikki suojaus (todennus ja salaus) tehdään sovelluskerroksen tasolla Dellin omaa protokollaa käyttäen.
Seuraavassa taulukossa on esitetty iDRAC:n laiteohjelmistoversiot palvelinsukupolven ja Dell EMC:n vastauksen mukaan.
Dell EMC:n iDRAC
:tä koskevat parhaat käytännötSen lisäksi, että Dell EMC pitää iDRAC-laiteohjelmiston ajan tasalla ja poistaa käytöstä alemmat protokollat selaimessa, se neuvoo myös seuraavaa:
Dell suosittelee, että kaikki käyttäjät selvittävät näiden tietojen soveltuvuuden omaan tilanteeseensa ja ryhtyvät asianmukaisiin toimiin. Nämä tiedot toimitetaan "sellaisinaan" ilman minkäänlaisia takuita. Dell sanoutuu irti kaikista nimenomaisista tai oletetuista takuista, mukaan lukien takuut myyntikelpoisuudesta, soveltuvuudesta tiettyyn tarkoitukseen, omistusoikeudesta ja oikeuksien loukkaamattomuudesta. Dell tai sen toimittajat eivät ole missään tapauksessa vastuussa mistään suorista, epäsuorista, satunnaisista, välillisistä tai erityisistä vahingoista tai menetetyistä voitoista, vaikka Dellille tai sen toimittajille olisi ilmoitettu mainittujen vahinkojen mahdollisuudesta. Joillakin lainkäyttöalueilla ei hyväksytä vastuun rajoittamista tai poistamista satunnaisten tai välillisten vahinkojen osalta, joten edellä mainittu rajoitus ei ehkä koske kaikkia käyttäjiä.
YLEISKATSAUS
Seuraavassa on Dell EMC:n vastaus haavoittuvuuteen CVE-2019-9506.
TEKNINEN YHTEENVETO
Bluetooth BR/EDR -salausavaimen neuvotteluprotokolla on altis pakettien ruiskutukselle, jonka avulla todentamaton käyttäjä voi pienentää salausavaimen entropian kokoa, mikä voi aiheuttaa tietojen paljastumista ja/tai käyttöoikeuksien eskaloitumista viereisen pääsyn kautta. Tällä hetkellä ei ole tietoa siitä, että tätä käytettäisiin hyväksi.
Lisätietoja tässä mainituista yleisistä haavoittuvuuksista ja altistumisista (CVE) on http://nvd.nist.gov/home.cfm:n kansallisessa haavoittuvuustietokannassa (NVD). Jos haluat etsiä tiettyä CVE:tä, käytä tietokannan hakutyökalua osoitteessa http://web.nvd.nist.gov/view/vuln/search.
Dell EMC:n vastaus
Edellä mainittu CVE ei koske iDRAC Quick Sync 2 -vaihtoehtoa sen rakenteen ja käyttötarkoituksen vuoksi. iDRAC Quick Sync 2 -ratkaisu käyttää Bluetooth Low Energy (BLE) -tekniikkaa ja poistaa käytöstä perinteiset Bluetooth-yhteydet. CVE-2019-9506 koskee erityisesti Bluetooth BR/EDR -yhteyttä. Quick Sync 2 sallii vain tietyt BLE-yhteydet. Quick Sync 2 ei myöskään käytä mitään Bluetooth-määrityksissä määritettyjä vakiosuojausmekanismeja. Dell EMC -ratkaisu käyttää Just Works (ei todennusta) -pariliitosmenetelmää. Kaikki suojaus (todennus ja salaus) tehdään sovelluskerroksen tasolla Dellin omaa protokollaa käyttäen.
Seuraavassa taulukossa on esitetty iDRAC:n laiteohjelmistoversiot palvelinsukupolven ja Dell EMC:n vastauksen mukaan.
|
iDRAC |
iDRAC-laiteohjelmistoversio |
Tavoitejulkaisupäivä |
Dell EMC:n vastaus |
|
iDRAC9 |
3.00.00.00 tai uudempi |
– |
Ei vaikuta (käyttää vain BLE:tä) |
|
iDRAC8 |
Mitään |
– |
Ei käytä Bluetoothia |
|
iDRAC7 |
Mitään |
– |
Ei käytä Bluetoothia |
|
iDRAC6 |
Mitään |
– |
Ei käytä Bluetoothia |
Dell EMC:n iDRAC
:tä koskevat parhaat käytännötSen lisäksi, että Dell EMC pitää iDRAC-laiteohjelmiston ajan tasalla ja poistaa käytöstä alemmat protokollat selaimessa, se neuvoo myös seuraavaa:
- iDRAC-ohjauskoneita ei ole tarkoitettu sijoitettaviksi Internetiin tai olemaan yhteydessä Internetiin. Ne on tarkoitus sijoittaa erilliseen hallintaverkkoon. iDRAC-ohjauskoneiden sijoittaminen tai yhdistäminen suoraan Internetiin voi altistaa yhdistetyn järjestelmän suojausriskeille ja muille riskeille, joista Dell EMC ei ole vastuussa.
- Käyttäjien on sijoitettava iDRAC-ohjauskoneet erilliseen hallinta-aliverkkoon ja lisäksi eristettävä hallinta-aliverkko/vLAN esimerkiksi palomuurin kaltaisilla tekniikoilla ja rajoitettava aliverkon/vLAN-verkon käyttöoikeus valtuutetuille palvelinten järjestelmänvalvojille.
Dell suosittelee, että kaikki käyttäjät selvittävät näiden tietojen soveltuvuuden omaan tilanteeseensa ja ryhtyvät asianmukaisiin toimiin. Nämä tiedot toimitetaan "sellaisinaan" ilman minkäänlaisia takuita. Dell sanoutuu irti kaikista nimenomaisista tai oletetuista takuista, mukaan lukien takuut myyntikelpoisuudesta, soveltuvuudesta tiettyyn tarkoitukseen, omistusoikeudesta ja oikeuksien loukkaamattomuudesta. Dell tai sen toimittajat eivät ole missään tapauksessa vastuussa mistään suorista, epäsuorista, satunnaisista, välillisistä tai erityisistä vahingoista tai menetetyistä voitoista, vaikka Dellille tai sen toimittajille olisi ilmoitettu mainittujen vahinkojen mahdollisuudesta. Joillakin lainkäyttöalueilla ei hyväksytä vastuun rajoittamista tai poistamista satunnaisten tai välillisten vahinkojen osalta, joten edellä mainittu rajoitus ei ehkä koske kaikkia käyttäjiä.
Affected Products
PowerEdge, iDRAC7 with Lifecycle Controller Version 2.13.13.12, iDRAC7 with Lifecycle Controller Version 2.15.10.10, iDRAC7/8 with Lifecycle Controller Version 2.52.52.52, iDRAC7/8 with Lifecycle Controller Version 2.63.60.61
, iDRAC7/8 with Lifecycle Controller Version 2.63.60.62, iDRAC7 Version 1.65.65, iDRAC7 Version 1.66.65, iDRAC8 with Lifecycle Controller Version 2.12.12.12, iDRAC8 with Lifecycle Controller Version 2.14.14.12, iDRAC8 with Lifecycle Controller Version 2.17.17.13, iDRAC8 with Lifecycle Controller Version 2.04.02.01, iDRAC8 with Lifecycle Controller Version 2.05.05.05
...
Article Properties
Article Number: 000177059
Article Type: Solution
Last Modified: 05 May 2026
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.