Номер статьи: 000177335


DSA-2020-128: iDRAC Local File Inclusion Vulnerability

Сводка: DSA-2020-128: iDRAC Local File Inclusion Vulnerability - CVE-2020-5366

Содержание статьи


Влияние

High

Подробные сведения

  • Improper Limitation of a Pathname to a Restricted Directory ("Path Traversal")

CVE-2020-5366

Dell EMC iDRAC9 versions prior to 4.20.20.20 contain a Path Traversal Vulnerability. A remote authenticated malicious user with low privileges could potentially exploit this vulnerability by manipulating input parameters to gain unauthorized read access to the arbitrary files.

7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L

  • Improper Limitation of a Pathname to a Restricted Directory ("Path Traversal")

CVE-2020-5366

Dell EMC iDRAC9 versions prior to 4.20.20.20 contain a Path Traversal Vulnerability. A remote authenticated malicious user with low privileges could potentially exploit this vulnerability by manipulating input parameters to gain unauthorized read access to the arbitrary files.

7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L

Dell рекомендует всем клиентам учитывать как базовую оценку CVSS, так и любые временные и обусловленные средой оценки, которые могут повлиять на потенциальную степень серьезности конкретной уязвимости.

Затронутые продукты и исправление

Affected products:

  • Dell EMC iDRAC9 versions prior to 4.20.20.20

Resolution:   
The following Dell EMC iDRAC firmware releases contain resolutions to these vulnerabilities:

iDRAC iDRAC firmware version
iDRAC9 4.20.20.20

Note: Available as of the publication date.

Dell EMC recommends all customers upgrade at the earliest opportunity. 


Dell EMC Best Practices regarding iDRAC:

  • The iDRAC is intended to be on a separate management network. The iDRAC is not designed nor intended to be placed on, nor connected directly to the Internet. Doing so could expose the connected system to security and other risks for which Dell EMC is not responsible.
  • Dell EMC recommends using the Dedicated Gigabit Ethernet port available on rack and tower servers to connect the iDRAC to a separate management network.
  • Along with locating iDRAC on a separate management network, users should isolate the management subnet/vLAN with technologies such as firewalls, and limit access to the subnet/vLAN to authorized server administrators.
  • Dell EMC recommends using 256-bit encryption strength as well as TLS 1.2 or higher. For tighter control, additional ciphers may be removed via "Cipher Select" – see the iDRAC User Guide for more details. 
  • Dell EMC recommends additional settings such as IP range filtering and System Lockdown Mode. 
  • Dell EMC recommends using additional security authentication options such as Microsoft Active Directory or LDAP.
  • Dell EMC recommends keeping iDRAC firmware up to date.

Customers can download software, including the latest release of iDRAC firmware, from the Dell Support site.
https://www.dell.com/support/home/
Customers can find the iDRAC documentation from the Dell EMC Support site.
www.dell.com/idracmanuals

Affected products:

  • Dell EMC iDRAC9 versions prior to 4.20.20.20

Resolution:   
The following Dell EMC iDRAC firmware releases contain resolutions to these vulnerabilities:

iDRAC iDRAC firmware version
iDRAC9 4.20.20.20

Note: Available as of the publication date.

Dell EMC recommends all customers upgrade at the earliest opportunity. 


Dell EMC Best Practices regarding iDRAC:

  • The iDRAC is intended to be on a separate management network. The iDRAC is not designed nor intended to be placed on, nor connected directly to the Internet. Doing so could expose the connected system to security and other risks for which Dell EMC is not responsible.
  • Dell EMC recommends using the Dedicated Gigabit Ethernet port available on rack and tower servers to connect the iDRAC to a separate management network.
  • Along with locating iDRAC on a separate management network, users should isolate the management subnet/vLAN with technologies such as firewalls, and limit access to the subnet/vLAN to authorized server administrators.
  • Dell EMC recommends using 256-bit encryption strength as well as TLS 1.2 or higher. For tighter control, additional ciphers may be removed via "Cipher Select" – see the iDRAC User Guide for more details. 
  • Dell EMC recommends additional settings such as IP range filtering and System Lockdown Mode. 
  • Dell EMC recommends using additional security authentication options such as Microsoft Active Directory or LDAP.
  • Dell EMC recommends keeping iDRAC firmware up to date.

Customers can download software, including the latest release of iDRAC firmware, from the Dell Support site.
https://www.dell.com/support/home/
Customers can find the iDRAC documentation from the Dell EMC Support site.
www.dell.com/idracmanuals

Сведения об авторе и авторских правах

CVE-2020-5366: Dell EMC would like to thank Georgy Kiguradze and Mark Ermolov from Positive Technologies

Связанная информация

Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide


Следует ознакомиться с информацией, содержащейся в данной рекомендации Dell Technologies по безопасности, чтобы избежать ситуаций, которые могут возникнуть вследствие описанных проблем. Dell Technologies распространяет рекомендации по безопасности, чтобы привлечь внимание пользователей соответствующих продуктов к важным сведениям о безопасности. Dell Technologies оценивает риск, основываясь на средних рисках, связанных с различными наборами установленных систем, который может не соответствовать реальному риску для вашей локальной установки и индивидуальной среды. Рекомендуется, чтобы все пользователи определяли применимость этой информации к своим индивидуальным средам и принимали соответствующие меры. Информация в настоящем документе предоставляется на условиях «как есть» без каких-либо гарантий. Dell Technologies отказывается от всех явных и подразумеваемых гарантий, в том числе от гарантий товарной пригодности, пригодности для конкретной цели и ненарушения прав. Ни при каких условиях корпорация Dell Technologies, ее филиалы или поставщики не несут ответственности за любые убытки, возникшие в связи с информацией, содержащейся в настоящем документе, или действия, которые вы решили выполнить по этой причине, включая любые прямые, непрямые, случайные, косвенные убытки, потери предпринимательской прибыли или особые убытки, даже если корпорация Dell Technologies, ее филиалы или поставщики были уведомлены о возможности таких убытков. В некоторых государствах не допускается исключения или ограничения ответственности за косвенный или непредвиденный ущерб, поэтому вышеупомянутое ограничение действует в пределах, допустимых в соответствии с законодательством.

Свойства статьи


Затронутый продукт

iDRAC9 - 3.0x Series, iDRAC9 - 3.1x Series, iDRAC9 - 3.2x Series, iDRAC9 - 3.3x Series, iDRAC9 - 3.4x Series, iDRAC9 - 4.xx Series, Product Security Information

Дата последней публикации

10 нояб. 2021

Версия

5

Тип статьи

Dell Security Advisory

Оцените эту статью


Точно
Функционально
Просто понять
Помогла ли вам эта статья?

0/3000 симв.