Bash « Shell Shock Vulnerability » dans Dell Data Protection Virtual Edition

Produits concernés :

• Dell Data Protection | Virtual Edition

Versions concernées :

• v9.2 et versions antérieures

Testez cette faille de sécurité en exécutant la commande suivante à partir d’une invite de shell bash :

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Si le terme « vulnerable » apparaît dans la sortie, la machine est vulnérable à l’exploit.

Même avec la faille de sécurité, un attaquant doit être en mesure d’accéder à un port spécifique sur le serveur VE pour utiliser l’exploit.

Il est recommandé que le serveur DDP| VE ne soit pas exposé sur Internet, mais plutôt que les services proxy doivent être utilisés pour répondre aux exigences Internet.

Si Dell Data Protection | Virtual Edition n’est pas exposé sur Internet, le problème « SShellShock » n’a pas pu être exploité en dehors de l’organisation.

Les anciennes versions de Dell Data Protection | Virtual Edition sont sensibles à une attaque dans le shell bash décrit dans l’avis de sécurité Ubuntu USN-2362-1, couramment référencé en tant que « Faille de sécurité des chocs du shell ».

Paramètres du problème :

• La console Dell Data Protection | Virtual Edition et le serveur SSH utilisent le shell bash, qui peut être exploité en transmettant le code de fin à un shell bash et en obtenant un accès non autorisé à l’environnement de commande.
• Cette faille de sécurité n’est pas présente dans le logiciel Dell Data Protection | Encryption Pre-Boot Authentication (PBA) tel que la gestion des disques à chiffrement automatique (SED) ou l’accélérateur de chiffrement matériel (HCA) utilisé pour l’authentification des clients.

Le problème a été résolu dans Dell Data Protection | Virtual Edition v9.3 et versions ultérieures.

Pour corriger ce problème :

1. Ouvrez la console de bureau à distance Virtual Edition.
2. Choisissez l’option Launch Shell dans le menu principal et procédez comme suit :
3. Saisissez la commande : su ddpsupport
4. Appuyez sur la touche Entrée.
5. Lorsque vous y êtes invité, saisissez le mot de passe défini pour le ddpsupport Utilisateur :
6. Une invite de mise à jour commence par « ddpsupport@ ». ddpsupport@.
7. Saisissez la commande : sudo apt-get update
   • Cette commande contacte les serveurs de mise à jour Ubuntu à l’aide d’Internet et demande les mises à jour pertinentes requises.
8. Saisissez la commande : sudo apt-get install bash

Une fois la mise à jour terminée, vérifiez que la mise à jour a résolu la faille de sécurité en testant à nouveau.

Plus de documents de référence

CVE-2014-6271 sur le site Web de Dell