Bash "Vulnerabilità da shell shock" in Dell Data Protection Virtual Edition

Prodotti interessati:

• Dell Data Protection | Virtual Edition

Versioni interessate:

• v9.2 e precedenti

Testare questa vulnerabilità eseguendo il seguente comando da un prompt della shell bash:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Se la parola vulnerabile appare nell'output, allora la macchina è vulnerabile all'exploit.

Anche con la vulnerabilità, un utente malintenzionato deve essere in grado di accedere a una porta specifica sul server VE per utilizzare l'exploit.

È consigliabile che il Dell Data Protection | Il server Virtual Edition non è rivolto a Internet, ma i servizi proxy devono essere utilizzati per i requisiti di connessione Internet.

Se Dell Data Protection | Virtual Edition non è rivolto a Internet, il problema ShellShock non può essere sfruttato al di fuori dell'organizzazione.

Versioni precedenti di Dell Data Protection | Virtual Edition sono suscettibili di un exploit nella shell bash descritta nell'avviso di sicurezza USN-2362-1 di Ubuntu, comunemente indicato come vulnerabilità Shell Shock.

Parametri del problema:

• Protezione dei dati Dell | La console di Virtual Edition e il server SSH utilizzano la shell bash, che può essere sfruttata passando il codice finale a una shell bash e ottenendo l'accesso non autorizzato all'ambiente di comando.
• Questa vulnerabilità non è presente in Dell Data Protection | Software Encryption Pre-Boot Authentication (PBA), come la gestione SED (Self-Encrypting Drive), o Hardware Encryption Accelerator (HCA) utilizzato per autenticare i client.

Il problema è stato risolto in Dell Data Protection | Virtual Edition 9.3 e versioni successive.

Per risolvere questo problema:

1. Aprire la console desktop remoto di Virtual Edition.
2. Scegli l'opzione Avvia shell dal menu principale e segui questi passaggi:
3. Digitare il comando: su ddpsupport
4. Premere il tasto Invio.
5. Quando richiesto, immettere la password impostata per ddpsupport .
6. È presente un prompt di aggiornamento che inizia con ddpsupport@.
7. Digitare il comando: sudo apt-get update
   • Questo comando contatta i server di aggiornamento di Ubuntu tramite Internet e richiede gli aggiornamenti necessari.
8. Digitare il comando: sudo apt-get install bash

Al termine dell'aggiornamento, verificare che abbia risolto la vulnerabilità ripetendo il test.

Altro materiale di riferimento

CVE-2014-6271 sul sito web del NIST