DSA-2019-028: Flere sikkerhetsproblemer med Dell Technologies iDRAC

DSA-ID: DSA-2019-028

CVE Identifier: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707

Alvorlighetsgrad: Høy

alvorlighetsgrad: Se delen Detaljer nedenfor om individuelle CVSS-poengsummer for hver CVE.
                         
Berørte produkter:
 

• Dell Technologies iDRAC6-versjoner før 2.92 (CVE-2019-3705)
• Dell Technologies iDRAC7/iDRAC8-versjoner som er eldre enn 2.61.60.60 (CVE-2019-3705)
• Dell Technologies iDRAC9-versjoner før 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 og CVE-2019-3707)

Detaljer:  

• Sikkerhetsproblemer ved bufferoverløp (CVE-2019-3705)
   

• Sikkerhetsproblemet ved omgåelse av godkjenning av nettverksgrensesnitt (CVE-2019-3706)

• Sikkerhetsproblem ved omgåelse av WS-MAN-godkjenning (CVE-2019-3707)

Følgende iDRAC-fastvareversjoner fra Dell Technologies inneholder løsninger på disse sikkerhetsproblemene:
 

Dell Technologies anbefaler at alle kunder oppgraderer så snart som mulig.  

Dells anbefalte fremgangsmåter for iDRAC:

I tillegg til å holde iDRAC-fastvaren oppdatert, anbefaler Dell også følgende:

• iDRAC-er er ikke designet eller ment å plasseres på eller kobles til Internett. De er ment å være på et eget administrasjonsnettverk. Plassering eller tilkobling av iDRAC-er direkte til Internett kan utsette det tilkoblede systemet for sikkerhet og andre risikoer som Dell ikke er ansvarlig for.   
• I tillegg til bare å koble iDRAC-er til et separat delnett for administrasjon, bør brukerne isolere delnettet for administrasjon / vLAN-nettverket med teknologier som for eksempel brannmurer, og begrense tilgangen til delnettet/VLAN-nettverket til autorisert serveradministratorer.
• Dell Technologies anbefaler at kundene vurderer eventuelle implementeringsfaktorer som kan være relevante for miljøet deres, for å vurdere den totale risikoen.

Kobling til løsninger:

Kunder kan laste ned iDRAC-fastvare for PowerEdge-servere. For alle andre plattformer velger du plattformen fra Dells nettsted for kundestøtte.


Dell Technologies anbefaler at alle brukere avgjør anvendeligheten av denne informasjonen i sine individuelle situasjoner og iverksetter nødvendige tiltak. Informasjonen som er angitt i dette dokumentet, leveres som den er uten garantier av noe slag. Dell fraskriver seg alle garantier, både uttrykte og underforståtte, inkludert garantier om salgbarhet, egnethet for et bestemt formål, rett og krenkelse av tredjeparts rettigheter. Ikke under noen omstendigheter skal Dell EMC eller dets leverandører holdes ansvarlig for skader eller tap, inkludert direkte, indirekte eller tilfeldige skader, følgeskader, tap av inntekter eller spesielle skader, selv om Dell EMC eller deres leverandører er underrettet om muligheten for slike skader. Noen land tillater ikke at ansvar for følgeskader eller tilfeldige skader utelukkes eller begrenses, noe som betyr at ovennevnte begrensning ikke gjelder.