DSA-2019-065: Vulnerabilidad de ruta de búsqueda no controlada del marco del paquete de actualización de Dell (DUP)

Vulnerabilidad de ruta de búsqueda no controlada (CVE-2019-3726)

Una vulnerabilidad de ruta de búsqueda no controlada se aplica a lo siguiente:

• Versiones de archivos de Framework de Dell Update Package (DUP) anteriores a 19.1.0.413 y versiones de archivos de Framework anteriores a 103.4.6.69 que se utilizan en servidores Dell EMC.
• Versiones de archivo de Dell Update Package (DUP) Framework anteriores a 3.8.3.67 que se utilizan en las plataformas de cliente de Dell. 

La vulnerabilidad se limita a la infraestructura de DUP durante la ventana de tiempo en que un administrador ejecuta un DUP. Durante esta ventana de tiempo, un usuario malicioso de bajos privilegios autenticado localmente podría aprovechar esta vulnerabilidad engañando a un administrador para que ejecute un binario de confianza, lo que hace que cargue un archivo DLL malicioso y permite que el atacante ejecute código arbitrario en el sistema víctima. La vulnerabilidad no afecta a la carga útil binaria real que entrega el DUP.

Puntaje base de CVSSv3: 6.7 (AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H)

Productos afectados:

• Para las plataformas de cliente de Dell: Versiones de archivos de Dell Update Packages (DUP) Framework anteriores a 3.8.3.67.
• Para servidores Dell EMC:
  • Controladores de redes y Fibre Channel: Versiones de archivos de Dell Update Package (DUP) Framework anteriores a 103.4.6.69
  • Todos los demás controladores, BIOS y firmware: Versiones de archivo de Dell Update Package (DUP) Framework anteriores a 19.1.0.413

Corrección:

Las siguientes infraestructuras de Dell Update Package (DUP) contienen una corrección para la vulnerabilidad:

• Plataformas de cliente de Dell:  Archivo de marco de Dell Update Package (DUP) versión 3.8.3.67 o posterior
• Servidores Dell EMC: controladores de redes y Fibre Channel: Archivo de marco Dell Update Package (DUP) versión 103.4.6.69 o posterior
• Servidores Dell EMC: todos los demás controladores, BIOS y firmware:  Versión 19.1.0.413 o posterior del archivo de infraestructura Dell Update Package (DUP)

Para comprobar la versión del archivo de marco de DUP, haga clic con el botón secundario en el archivo de DUP, seleccione Propiedades y haga clic en la pestaña Detalles para encontrar el número de versión del archivo.

Los clientes deben utilizar el último DUP disponible en el soporte de Dell cuando actualicen sus sistemas. Los clientes no necesitan descargar y volver a ejecutar los DUP si el sistema ya está ejecutando el contenido más reciente del BIOS, el firmware o el controlador.     

Dell también recomienda ejecutar los paquetes de software DUP desde una ubicación protegida, una que requiera privilegios administrativos para acceder como práctica recomendada.

Dell recomienda a los clientes que sigan las prácticas recomendadas de seguridad para la protección contra malware. Los clientes deben utilizar software de seguridad para ayudar a protegerse contra el malware (software de prevención de amenazas avanzadas o antivirus).