ID CVE: CVE-2018-3615, CVE-2018-3620, CVE-2018-3646 Dell è a conoscenza di una classe di vulnerabilità di esecuzione speculativa della
CPU recentemente divulgata (CVE-2018-3615, CVE-2018-3620 e CVE-2018-3646) nota collettivamente come "L1 Terminal Fault" (L1TF) che interessa i microprocessori Intel. Per ulteriori informazioni su queste vulnerabilità, consultare l'avviso di sicurezza pubblicato da Intel.
Dell sta esaminando l'impatto di queste vulnerabilità sui nostri prodotti e sta collaborando con Intel e altri partner del settore per mitigare queste vulnerabilità. Le procedure di mitigazione possono variare in base al prodotto e possono includere aggiornamenti del firmware, del sistema operativo e dei componenti dell'hypervisor.
Dell EMC consiglia ai clienti di seguire le best practice di sicurezza per la protezione da malware al fine di evitare possibili exploit di queste vulnerabilità fino a quando non sarà possibile applicare aggiornamenti futuri. Queste procedure includono, a titolo esemplificativo ma non esaustivo, implementare tempestivamente gli aggiornamenti software, evitare collegamenti ipertestuali e siti Web sconosciuti, non scaricare mai file o applicazioni da fonti sconosciute e utilizzare antivirus aggiornati e soluzioni di protezione avanzate dalle minacce.
Server Dell EMC PowerEdge/hyper-converged appliance
XC Vi sono due componenti essenziali che devono essere applicati per mitigare le suddette vulnerabilità:
1. È già stato rilasciato il BIOS di sistema per CVE-2018-3639 e CVE-2018-3640 contenente il microcodice necessario. Consultare queste tabelle dei prodotti per il sistema in uso.
2. Aggiornamenti del sistema operativo e hypervisor.
Se il prodotto dispone di un BIOS aggiornato nell'elenco, Dell EMC consiglia di eseguire l'aggiornamento a tale BIOS e di applicare le patch del sistema operativo appropriate per ridurre le CVE elencate.
Prodotti di storage Dell EMC (serie SC, PS e PowerVault MD)
Consultare le tabelle dei prodotti per le attenuazioni e le analisi appropriate.
Prodotti Dell EMC Networking
Consultare le tabelle dei prodotti per le attenuazioni e le analisi appropriate.
Per informazioni su altri prodotti Dell, consultare https://www.dell.com/support/article/sln318303.
|
Linea di prodotti Dell Storage
|
Valutazione
|
| EqualLogic serie PS | Non applicabile. La CPU utilizzata nel prodotto non è interessata dai problemi segnalati. La CPU utilizzata è un processore Broadcom MIPS senza esecuzione speculativa. |
| Dell EMC serie SC (Compellent) | Nessun ulteriore rischio di sicurezza. Per poter sfruttare queste vulnerabilità, un utente malintenzionato deve prima essere in grado di eseguire un codice dannoso sul sistema di destinazione. Il prodotto è stato progettato per impedire il caricamento e l'esecuzione da parte degli utenti di codici esterni e/o non attendibili nel sistema. I problemi segnalati non costituiscono un rischio alla sicurezza per il prodotto. |
| Dell Storage serie MD3 e DSMS MD3 | |
| Unità nastro e librerie Dell PowerVault | |
| Dell Storage serie FluidFS (include: FS8600, FS7600, FS7610, FS7500, NX3600, NX3610, NX3500) | Nessun ulteriore rischio di sicurezza. Per poter sfruttare queste vulnerabilità, un utente malintenzionato deve prima essere in grado di eseguire un codice dannoso sul sistema di destinazione. L'accesso al prodotto per il caricamento di codici esterni e/o potenzialmente non attendibili è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono un ulteriore rischio di sicurezza per il prodotto, ammesso che vengano seguite le procedure consigliate fornite per proteggere l'accesso degli account con privilegi elevati. |
|
Appliance virtuale Dell Storage
|
Valutazione
|
| Appliance virtuale Dell Storage Manager (DSM VA - Compellent) | Nessun ulteriore rischio di sicurezza. Per poter sfruttare queste vulnerabilità, un utente malintenzionato deve prima essere in grado di eseguire un codice dannoso sul sistema di destinazione. L'accesso al prodotto per il caricamento di codici esterni e/o potenzialmente non attendibili è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono un ulteriore rischio di sicurezza per il prodotto, ammesso che vengano seguite le procedure consigliate fornite per proteggere l'accesso degli account con privilegi elevati. Per una protezione completa, si consiglia ai clienti di applicare la patch per l'ambiente host virtuale in cui è distribuito il prodotto. |
| Strumenti di integrazione Dell Storage per VMWare (Compellent) | |
| Dell EqualLogic Virtual Storage Manager (VSM - EqualLogic) |
|
Linea di prodotti Dell Storage
|
Valutazione
|
| Famiglia Dell Storage NX | Prodotto interessato dal problema. Consultare le informazioni pertinenti sui server PowerEdge per informazioni sulle patch del BIOS. Seguire le raccomandazioni del fornitore del sistema operativo per ridurre gli effetti del problema. |
| Famiglia Dell Storage DSMS |
| Piattaforme | Valutazione |
| Serie C - C1048P, C9010 | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. |
| M I/O Aggregator | Not Applicable. La CPU utilizzata nei prodotti non è influenzata dai problemi segnalati. |
| MXL | |
| FX2 | |
| N11xx, N15xx, N20xx, N30xx | |
| N2128PX, N3128PX | |
| Navasota | |
| S55, S60 | |
| SIOM | |
| Serie S - Standard e -ON | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. |
| Serie Z - Standard e ON |
| Piattaforme | Valutazione |
| Switch serie PowerConnect | Not Applicable. La CPU utilizzata nei prodotti non è influenzata dai problemi segnalati. |
| Schede di linea serie C9000 | |
| Mellanox serie SB7800, serie SX6000 | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. |
| Software della piattaforma | Valutazione |
| VM ed emulatore | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. Si consiglia ai clienti di applicare la patch all'ambiente host virtuale in cui viene implementato il prodotto per una protezione completa. |
| OS10.4.0 e versioni precedenti Base ed Enterprise | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. |
| OS10.4.1 Base ed Enterprise | |
| OS9 Tutte le versioni | Not Applicable. Il sistema operativo non è vulnerabile a questo attacco. |
| Piattaforma | Valutazione |
| Serie W | Not Applicable. La CPU utilizzata nei prodotti non è influenzata dai problemi segnalati. |
| Appliance wireless: | |
| W-Airwave | Nessun rischio aggiuntivo per la sicurezza. Per sfruttare queste vulnerabilità, un malintenzionato deve prima essere in grado di eseguire codice malevolo sul sistema di destinazione. L'accesso al prodotto per caricare codice potenzialmente non attendibile è limitato solo agli utenti con privilegi root o equivalenti. I problemi segnalati non introducono alcun ulteriore rischio per la sicurezza del prodotto, a condizione che vengano seguite le best practice di sicurezza consigliate per proteggere l'accesso agli account con privilegi elevati. Si consiglia ai clienti di applicare la patch all'ambiente host virtuale in cui viene implementato il prodotto per una protezione completa. |
| Appliance hardware W-ClearPass | |
| Appliance virtuali W-ClearPass | |
| Software W-ClearPass 100 | Not Applicable. Il software funziona in un ambiente virtuale. Si consiglia vivamente ai clienti di applicare patch all'ambiente host virtuale in cui viene implementato il prodotto. |