Ism: Sårbarhed af Dell EMC iDRAC Service Module på grund af forkert filtilladelse

CVE-identifikator: CVE-2018-11053

Alvorsgrad: Mellem

Berørte produkter: Dell EMC iDRAC Service Module 3.0.1, 3.0.2, 3.1.0, 3.2.0 (for alle understøttede Linux- og XenServer-operativsystemer)

Overblik:

Dell EMC iDRAC Service Module (ISM) er blevet opdateret for at udbedre en sårbarhed på grund af en forkert filtilladelse, som potentielt kan udnyttes af ondsindede brugere af eller processer i værtsoperativsystemer for at kompromittere det berørte system.

Detaljer:

Dell EMC iDRAC Service Module til alle understøttede Linux- og XenServer-versioner 3.0.1, 3.0.2, 3.1.0, 3.2.0 skifter ved opstart standard-filtilladelsen for værtsoperativsystemets værtsfiler (/etc/hosts) til world writable. En ondsindet bruger af eller proces i et operativsystem med indskrænkede rettigheder kunne ændre værtsfilen og potentielt omdirigere trafik fra den tilsigtede destination til websteder med skadeligt eller uønsket indhold.

iDRAC Service Module til Windows eller VMWare ESXi er ikke berørt af dette problem

Følgende versioner af Dell EMC iDRAC Service Module indeholder løsninger på denne sårbarhed:

• Dell EMC iDRAC Service Module 3.2.0.1 (til alle understøttede Linux- og XenServer-operativsystemer)
• Dell EMC iDRAC Service Module 3.1.0.1 (til alle understøttede Linux- og XenServer-operativsystemer)

Dell EMC anbefaler at opgradere så hurtigt som muligt. Downloads til det pågældende operativsystem er nedenfor:

• iSM 3.2.0.1 RPM-pakker til RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 og SLES 12
• iSM 3.2.0.1 DUP-pakke til RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 og SLES 12
• iSM 3.2.0.1 ISO-billede til XenServer 7

• iSM 3.1.0.1 RPM-pakker til RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 og SLES 12
• iSM 3.1.0.1 ISO-billede til XenServer 7

Dell EMC anbefaler, at alle brugere bestemmer anvendeligheden af disse oplysninger med henblik på deres individuelle situationer og træffer de nødvendige foranstaltninger. Oplysningerne heri videresendes "som de er og forefindes" uden nogen form for garanti. Dell EMC fraskriver sig enhver garanti, udtrykkelig eller underforstået, herunder garantier for salgbarhed, egnethed til et bestemt formål, adkomst og ikke-krænkelse. Under ingen omstændigheder kan Dell EMC eller dets leverandører gøres erstatningsansvarlige for skader af nogen art, herunder direkte, indirekte, hændelige og specielle skader samt følgeskader og tab af indtjening, selvom Dell EMC eller dets leverandører er blevet underrettet om muligheden for sådanne skader. Visse lande tillader ikke fraskrivelse eller begrænsning af erstatningsansvar for følgeskader eller hændelige skader, så ovenstående begrænsning gælder muligvis ikke.