DSA-2019-028: Vícenásobné chyby zabezpečení řadiče iDRAC společnosti Dell Technologies
Summary: Aktualizace řadiče iDRAC společnosti Dell Technologies řeší různé chyby zabezpečení, které mohou být potenciálně zneužity k ohrožení dotčených systémů.
Symptoms
ID DSA: DSA-2019-028
Identifikátor CVE: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707
Závažnost: Vysoké
hodnocení závažnosti: Níže naleznete část Podrobnosti o jednotlivých skóre CVSS pro jednotlivé CVE.
Dotčené produkty:
- Dell Technologies iDRAC6, verze před 2.92 (CVE-2019-3705)
- Verze Dell Technologies iDRAC7/iDRAC8 před verzí 2.61.60.60 (CVE-2019-3705)
- Verze řadiče Dell Technologies iDRAC9 před verzemi 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 a CVE-2019-3707)
Cause
Podrobnosti:
- Zranitelnost zahlcení vyrovnávací paměti (CVE-2019-3705)
Základní skóre CVSSv3: 8,1 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)
- Zranitelnost obcházení ověřování webového rozhraní (CVE-2019-3706)
Základní skóre CVSSv3: 8,6 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H)
- Zranitelnost obcházení ověřování WS-MAN (CVE-2019-3707)
Resolution
Následující vydání firmwaru řadiče iDRAC společnosti Dell Technologies obsahují řešení těchto chyb zabezpečení:
|
iDRAC |
Verze firmwaru řadiče iDRAC |
|
iDRAC9 |
3.20.21.20 |
|
3.21.24.22 |
|
|
3.21.26.22 |
|
|
3.23.23.23 |
|
|
|
3.24.24.24 |
|
|
3.22.22.22 |
|
|
3.21.25.22 |
|
|
3.30.30.30 |
|
iDRAC8 |
2.61.60.60 |
|
iDRAC7 |
2.61.60.60 |
|
iDRAC6 |
2.92 |
Společnost Dell Technologies doporučuje všem zákazníkům provést upgrade při nejbližší příležitosti.
Nejlepší postupy společnosti Dell týkající se řadiče iDRAC:
Kromě udržování aktuálního firmwaru řadiče iDRAC společnost Dell také doporučuje následující:
- Řadiče iDRAC nejsou navrženy ani určeny k umístění na internet nebo připojení k internetu. Mají být v samostatné síti pro správu. Umístění nebo připojení řadičů iDRAC přímo k internetu může vystavit připojený systém bezpečnostním a dalším rizikům, za která společnost Dell nenese odpovědnost.
- Kromě umístění řadičů iDRAC do samostatné sítě pro správu by uživatelé měli také izolovat podsíť pro správu / síť vLAN pomocí technologií jako jsou brány firewally a omezit přístup k podsíti / síti vLAN pouze pro oprávněné správce serveru.
- Společnost Dell Technologies doporučuje, aby zákazníci zvážili všechny faktory nasazení, které mohou být relevantní pro jejich prostředí, a mohli tak posoudit své celkové riziko.
Odkaz na nápravná opatření:
Zákazníci si mohou stáhnout firmware řadiče iDRAC pro servery PowerEdge. U všech ostatních platforem vyberte platformu z webu podpory společnosti Dell.
Společnost Dell Technologies doporučuje všem uživatelům, aby zvážili použitelnost těchto informací ve své individuální situaci a podnikli příslušné kroky. Informace uvedené zde jsou poskytovány „tak, jak jsou“, bez záruky jakéhokoli druhu. Společnost Dell se zříká veškerých záruk, výslovných nebo předpokládaných, včetně záruk obchodovatelnosti, vhodnosti pro určitý účel, nároku a neporušení práv. Společnost Dell ani její dodavatelé neponesou v žádném případě odpovědnost za naprosto jakékoli škody včetně přímých, nepřímých, neúmyslných či následných škod, ztráty podnikových zisků nebo zvláštních škod, i pokud byli společnost Dell nebo její dodavatelé na možnost vzniku takových škod upozorněni. Některé státy nepovolují vyloučení či omezení odpovědnosti u následných nebo neúmyslných škod, výše uvedená omezení tedy nemusí být vždy platná.