Dell Data Protection Virtual EditionでのBash「Shell Shockの脆弱性」

対象製品:

• Dell Data Protection | Virtual Edition

影響を受けるバージョン:

• v9.2以前

bashシェル プロンプトから次のコマンドを実行して、この脆弱性をテストします。

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

出力に「vulnerable」という単語が表示された場合、マシンにはこのセキュリティ上の脆弱性があります。

この脆弱性がある場合でも、攻撃者が脆弱性を使用するためには、VEサーバー上の特定のポートにアクセスする必要があります。

DDP| VEサーバーをインターネットに直接接続するのではなく、インターネット直接接続要件に則ってプロキシ サービスを使用することがベスト プラクティスです。

Dell Data Protection | Virtual Editionがインターネットに直接接続されていない場合、「ShellShock」の問題を組織外で悪用することは難しくなります。

Dell Data Protection | Virtual Editionの古いバージョンは、「Ubuntu Security Notice USN-2362-1」で説明されているbashシェルのセキュリティ上の弱点（一般的に「Shell Shockの脆弱性」と参照）の影響を受けます。

問題のパラメーター：

• Dell Data Protection | Virtual EditionコンソールおよびSSHサーバーではbashシェルが使用されるため、末尾のコードをbashシェルに渡し、コマンド環境に不正アクセスすることで悪用される可能性があります。
• この脆弱性は、自己暗号化ドライブ（SED）管理やハードウェア暗号化アクセラレーター（HCA）などの、クライアントの認証に使用されるDell Data Protection | Encryption Pre-Boot Authentication（PBA）ソフトウェアには存在しません。

問題はDell Data Protection | Virtual Edition v9.3以降で解決されています。

この問題を修正するには、次の手順を実行します。

1. Virtual Editionリモート デスクトップ コンソールを開きます。
2. メイン メニューから［Launch Shell］オプションを選択し、次の手順に従います。
3. 次のコマンドを入力します。 su ddpsupport
4. <Enter>キーを押します。
5. プロンプトが表示されたら、に設定されたパスワードを入力します ddpsupport ユーザーとしてログインします。
6. 「ddpsupport@」で始まる新しいプロンプトが表示されます。 ddpsupport@。
7. 次のコマンドを入力します。 sudo apt-get update
   • このコマンドは、インターネットを使用してUbuntuアップデート サーバーに接続し、必要な関連アップデートを要求します。
8. 次のコマンドを入力します。 sudo apt-get install bash

アップデートが完了したら、再度テストして、アップデートによって脆弱性が解決されたことを確認します。

その他の参考資料

NIST Webサイト上のCVE-2014-6271