DSA-2019-028: Dell Technologies iDRAC flera sårbarheter

DSA-ID: DSA-2019-028

CVE-identifierare: Allvarlighetsgrad: CVE-2019-3705, CVE-2019-3706, CVE-2019-3707

: Hög

allvarlighetsgrad: Se avsnittet Details nedan för enskilda CVSS-poäng för varje CVE.
                         
Berörda produkter:
 

• Dell Technologies iDRAC6-versioner tidigare än 2.92 (CVE-2019-3705)
• Dell Technologies iDRAC7/iDRAC8-versioner tidigare än 2.61.60.60 (CVE-2019-3705)
• Dell Technologies iDRAC9-versioner tidigare än 3.30.30.30, 3.20.21.20, 3.21.24.22, 3.21.26.22, 3.23.23.23, 3.24.24.24, 3.22.22.22, 3.21.25.22 (CVE-2019-3705, CVE-2019-3706 och CVE-2019-3707)

Mer information:  

• Buffertöverspillssäkerhetsproblem (CVE-2019-3705)
   

• Säkerhetsproblem med åsidosättande av webbgränssnittsautentisering (CVE-2019-3706)

• Säkerhetsproblem med åsidosättande av WS-MAN-autentisering (CVE-2019-3707)

Följande versioner av den fasta programvaran för Dell Technologies iDRAC innehåller lösningar på dessa säkerhetsproblem:
 

Dell Technologies rekommenderar alla kunder att uppgradera så snart som möjligt.  

Dells bästa praxis för iDRAC:

Utöver att hålla den fasta iDRAC-programvaran uppdaterad rekommenderar Dell även följande:

• iDRAC:er är inte utformade eller avsedda att placeras på eller anslutas till internet. De är avsedda att ingå i ett separat hanteringsnätverk. Om du placerar eller ansluter iDRAC-enheter direkt till internet kan det anslutna systemet utsättas för säkerhetsrisker och andra risker som Dell inte ansvarar för.   
• Utöver att placera iDRAC-plattformar i ett separat hanteringsdelnät ska användare isolera hanteringsdelnätet/vLAN med hjälp av tekniska lösningar, till exempel brandväggar, och begränsa åtkomst till delnätet/vLAN till godkända serveradministratörer.
• Dell Technologies rekommenderar att kunder överväger eventuella driftsättningsfaktorer som kan vara relevanta för deras miljö för att bedöma den totala risken.

Länk till åtgärder:

Kunder kan ladda ner fast iDRAC-programvara för PowerEdge-servrar. För alla andra plattformar väljer du plattformen på Dells supportwebbplats.


Dell Technologies rekommenderar att alla användare avgör om denna information är tillämplig på deras individuella situation och vidtar lämpliga åtgärder. Informationen häri tillhandahålls ”i befintligt skick” utan garanti av något slag. Dell frånsäger sig alla garantier, vare sig uttryckliga eller underförstådda, inklusive garantier om säljbarhet, lämplighet för ett visst ändamål, äganderätt och icke-intrång. Under inga omständigheter ska Dell eller dess leverantörer hållas ansvariga för några som helst skador, inklusive direkta och indirekta skador, följdskador, affärsförluster och särskilda skador, även om Dell eller dess leverantörer har informerats om risken för sådana skador. Eftersom vissa länder inte tillåter undantag eller begränsning av ansvar för indirekta skador eller följdskador kanske ovannämnda begränsning inte gäller.