Numéro d’article: 000177335


DSA-2020-128: iDRAC Local File Inclusion Vulnerability

Résumé: DSA-2020-128: iDRAC Local File Inclusion Vulnerability - CVE-2020-5366

Contenu de l’article


Impact

High

Détails
  • Improper Limitation of a Pathname to a Restricted Directory ("Path Traversal")

Dell EMC iDRAC9 versions prior to 4.20.20.20 contain a Path Traversal Vulnerability. A remote authenticated malicious user with low privileges could potentially exploit this vulnerability by manipulating input parameters to gain unauthorized read access to the arbitrary files.

  • Improper Limitation of a Pathname to a Restricted Directory ("Path Traversal")

Dell EMC iDRAC9 versions prior to 4.20.20.20 contain a Path Traversal Vulnerability. A remote authenticated malicious user with low privileges could potentially exploit this vulnerability by manipulating input parameters to gain unauthorized read access to the arbitrary files.

Dell Technologies recommande à tous les clients de prendre en compte à la fois le score de base CVSS et les scores temporels et environnementaux pertinents qui peuvent avoir un impact sur la gravité potentielle associée à une faille de sécurité donnée.

Produits concernés et mesure corrective

Affected products:

  • Dell EMC iDRAC9 versions prior to 4.20.20.20

Resolution:   
The following Dell EMC iDRAC firmware releases contain resolutions to these vulnerabilities:

iDRAC iDRAC firmware version
iDRAC9 4.20.20.20

Note: Available as of the publication date.

Dell EMC recommends all customers upgrade at the earliest opportunity. 


Dell EMC Best Practices regarding iDRAC:

  • The iDRAC is intended to be on a separate management network. The iDRAC is not designed nor intended to be placed on, nor connected directly to the Internet. Doing so could expose the connected system to security and other risks for which Dell EMC is not responsible.
  • Dell EMC recommends using the Dedicated Gigabit Ethernet port available on rack and tower servers to connect the iDRAC to a separate management network.
  • Along with locating iDRAC on a separate management network, users should isolate the management subnet/vLAN with technologies such as firewalls, and limit access to the subnet/vLAN to authorized server administrators.
  • Dell EMC recommends using 256-bit encryption strength as well as TLS 1.2 or higher. For tighter control, additional ciphers may be removed via "Cipher Select" – see the iDRAC User Guide for more details. 
  • Dell EMC recommends additional settings such as IP range filtering and System Lockdown Mode. 
  • Dell EMC recommends using additional security authentication options such as Microsoft Active Directory or LDAP.
  • Dell EMC recommends keeping iDRAC firmware up to date.

Customers can download software, including the latest release of iDRAC firmware, from the Dell Support site.
https://www.dell.com/support/home/
Customers can find the iDRAC documentation from the Dell EMC Support site.
www.dell.com/idracmanuals

Affected products:

  • Dell EMC iDRAC9 versions prior to 4.20.20.20

Resolution:   
The following Dell EMC iDRAC firmware releases contain resolutions to these vulnerabilities:

iDRAC iDRAC firmware version
iDRAC9 4.20.20.20

Note: Available as of the publication date.

Dell EMC recommends all customers upgrade at the earliest opportunity. 


Dell EMC Best Practices regarding iDRAC:

  • The iDRAC is intended to be on a separate management network. The iDRAC is not designed nor intended to be placed on, nor connected directly to the Internet. Doing so could expose the connected system to security and other risks for which Dell EMC is not responsible.
  • Dell EMC recommends using the Dedicated Gigabit Ethernet port available on rack and tower servers to connect the iDRAC to a separate management network.
  • Along with locating iDRAC on a separate management network, users should isolate the management subnet/vLAN with technologies such as firewalls, and limit access to the subnet/vLAN to authorized server administrators.
  • Dell EMC recommends using 256-bit encryption strength as well as TLS 1.2 or higher. For tighter control, additional ciphers may be removed via "Cipher Select" – see the iDRAC User Guide for more details. 
  • Dell EMC recommends additional settings such as IP range filtering and System Lockdown Mode. 
  • Dell EMC recommends using additional security authentication options such as Microsoft Active Directory or LDAP.
  • Dell EMC recommends keeping iDRAC firmware up to date.

Customers can download software, including the latest release of iDRAC firmware, from the Dell Support site.
https://www.dell.com/support/home/
Customers can find the iDRAC documentation from the Dell EMC Support site.
www.dell.com/idracmanuals

Remerciements

CVE-2020-5366: Dell EMC would like to thank Georgy Kiguradze and Mark Ermolov from Positive Technologies

Informations connexes

Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide


Les informations contenues dans ce conseil de sécurité Dell Technologies doivent être lues et utilisées pour vous aider à éviter les situations qui peuvent découler des problèmes décrits dans le présent document. Dell Technologies publie des conseils de sécurité pour attirer l’attention des utilisateurs du ou des produits concernés sur des informations importantes en matière de sécurité. Dell Technologies évalue le risque en se basant sur la moyenne des risques d’un ensemble de systèmes installés. Cette évaluation peut ne pas représenter le risque réel pour votre installation locale et votre environnement individuel. Il est recommandé à tous les utilisateurs de déterminer si ces informations sont applicables à leurs environnements individuels et de prendre les mesures appropriées. Les informations contenues dans le présent document sont fournies « en l’état », sans garantie d’aucune sorte. Dell Technologies décline toute garantie, expresse ou implicite, notamment les garanties de qualité marchande, d’adéquation à un usage particulier, de propriété et d’absence de contrefaçon. Dell Technologies, ses sociétés affiliées ou ses fournisseurs ne sauraient en aucun cas être tenus responsables de tout dommage résultant ou lié aux informations contenues dans le présent document ou aux actions que vous décidez de prendre sur la base de ce dernier, y compris tout dommage direct, indirect, fortuit, consécutif, perte de bénéfices ou dommages spéciaux, et ce, même si Dell Technologies, ses sociétés affiliées ou ses fournisseurs ont été avertis de la possibilité de tels dommages. Certaines juridictions n’autorisent pas la limitation ou l’exclusion de responsabilité en cas de dommages consécutifs ou accidentels, la limitation susmentionnée s’appliquant ainsi dans la mesure permise par la loi.

Propriétés de l’article


Produit concerné

iDRAC9 - 3.0x Series, iDRAC9 - 3.1x Series, iDRAC9 - 3.2x Series, iDRAC9 - 3.3x Series, iDRAC9 - 3.4x Series, iDRAC9 - 4.xx Series, Product Security Information

Dernière date de publication

21 févr. 2021

Version

4

Type d’article

Dell Security Advisory

Noter cet article


Précis
Utile
Facile à comprendre
Avez-vous trouvé cet article utile ?

0/3000 caractères