Chyba „Shell Shock Vulnerability“ prostředí Bash v nástroji Dell Data Protection Virtual Edition

Dotčené produkty:

• Dell Data Protection | Virtual Edition

Dotčené verze:

• v9.2 a starší

Otestujte tuto chybu zabezpečení spuštěním následujícího příkazu z příkazového řádku prostředí Bash:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Pokud se ve výstupu zobrazí slovo „vulnerable“, počítač je náchylný vůči zneužití chyby.

I v případě této chyby zabezpečení musí mít útočník přístup ke konkrétnímu portu na serveru VE, aby mohl chybu zneužít.

Nejlepší je, když server DDP| VE není připojen k internetu, a k požadavkům souvisejícím s připojením k internetu jsou raději použity služby serveru proxy.

Pokud nástroj Dell Data Protection | Virtual Edition není připojen k internetu, problém „ShellShock“ nelze zneužít mimo organizaci.

Starší verze nástroje Dell Data Protection | Virtual Edition je náchylná ke zneužití v prostředí Bash popsaném v bezpečnostním doporučení Ubuntu USN-2362-1. Situace se běžně označuje jako „chyba zabezpečení Shell Shock“.

Parametry problému:

• Konzole Dell Data Protection | Virtual Edition a server SSH používají prostředí Bash, které lze zneužít předáním koncového kódu do prostředí Bash a získáním neoprávněného přístupu do příkazového prostředí.
• Tato chyba zabezpečení se netýká softwaru Dell Data Protection | Encryption Pre-Boot Authentication (PBA), jako je správa Self-Encrypting Drive (SED) nebo Hardware Encryption Accelerator (HCA), které se používají k ověřování klientů.

Byl vyřešen problém v nástroji Dell Data Protection | Virtual Edition verze 9.3 a novějších.

Oprava tohoto problému:

1. Otevřete konzoli vzdálené plochy Virtual Edition.
2. V hlavní nabídce vyberte možnost „Launch Shell“ a postupujte následovně:
3. Zadejte příkaz: su ddpsupport
4. Stiskněte klávesu Enter.
5. Po výzvě zadejte heslo nastavené pro uživatele ddpsupport. ddpsupport .
6. Zobrazí se výzva k aktualizaci začínající částí „ddpsupport@“. ddpsupport@.
7. Zadejte příkaz: sudo apt-get update
   • Tento příkaz kontaktuje aktualizační servery Ubuntu pomocí internetu a vyžádá požadované relevantní aktualizace.
8. Zadejte příkaz: sudo apt-get install bash

Po dokončení aktualizace proveďte další testování a ověřte, že chyba zabezpečení byla vyřešena.

Další referenční materiály

CVE-2014-6271 na webu NIST