Ism: Vulnerabilidade de permissão inadequada de arquivo do Dell EMC iDRAC Service Module

Identificador de CVE: CVE-2018-11053

Gravidade: Média

Produtos afetados: Dell EMC iDRAC Service Module 3.0.1, 3.0.2, 3.1.0, 3.2.0 (para todos os sistemas operacionais Linux e XenServer compatíveis)

Summary:

O Dell EMC iDRAC Service Module (iSM) foi atualizado para corrigir uma vulnerabilidade de permissão de arquivo imprópria que potencialmente poderia ser explorada por usuários ou processos mal-intencionados do sistema operacional host com o objetivo de comprometer o sistema afetado.

Detalhes:

Quando iniciado, o Dell EMC iDRAC Service Module para todas as versões suportadas do Linux e XenServer (3.0.1, 3.0.2, 3.1.0, 3.2.0) altera a permissão de arquivo padrão do arquivo hosts do sistema operacional host (/etc/hosts) para world-writable. Um usuário ou processo mal-intencionado do sistema operacional de baixo privilégio consegue modificar o arquivo host e potencialmente redirecionar o tráfego do destino pretendido para sites que hospedam conteúdo mal-intencionado ou indesejado.

O iDRAC Service Module for Windows ou VMWare ESXi não é afetado por esse problema

As seguintes versões do Dell EMC iDRAC Service Module contêm a solução para essa vulnerabilidade:

• Dell EMC iDRAC Service Module 3.2.0.1 (para todos os sistemas operacionais Linux e XenServer suportados)
• Dell EMC iDRAC Service Module 3.1.0.1 (para todos os sistemas operacionais Linux e XenServer suportados)

A Dell EMC recomenda fazer a atualização o mais rápido possível. Os downloads para o sistema operacional aplicável são encontrados a seguir:

• Pacotes RPM do iSM 3.2.0.1 para RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 e SLES 12
• Pacote DUP do iSM 3.2.0.1 para RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 e SLES 12
• Imagem ISO do iSM 3.2.0.1 para XenServer 7

• Pacotes RPM do iSM 3.1.0.1 para RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 e SLES 12
• Imagem ISO do iSM 3.1.0.1 para XenServer 7

A Dell EMC recomenda que todos os usuários determinem a aplicabilidade dessa informação às situações individuais e que tomem as medidas apropriadas. As informações contidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Dell EMC se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comerciabilidade, adequação a um propósito específico, título e não-violação. Em nenhuma circunstância, a Dell EMC ou seus fornecedores poderão ser responsabilizados por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, de lucros cessantes ou danos especiais, mesmo que a Dell EMC ou seus fornecedores tenham sido alertados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, por isso a limitação acima pode não se aplicar.