iSM: Неправильна вразливість сервісного модуля Dell EMC iDRAC

Ідентифікатор CVE: CVE-2018-11053

Ступінь тяжкості: Середнє

Продукти, на які впливають: Dell EMC iDRAC Service Module 3.0.1, 3.0.2, 3.1.0, 3.2.0 (для всіх підтримуваних операційних систем Linux і XenServer)

Зміст:

Службовий модуль Dell EMC iDRAC (iSM) було оновлено, щоб виправити вразливість неправильного дозволу на доступ до файлів, яка потенційно може бути використана зловмисними користувачами операційної системи хоста або процесами для компрометації ураженої системи.

Деталі

Службовий модуль Dell EMC iDRAC для всіх підтримуваних версій Linux і XenServer 3.0.1, 3.0.2, 3.1.0, 3.2.0 під час запуску змінює дозвіл файлу за замовчуванням для файлу hosts операційної системи хоста (/etc/hosts) на доступний для запису. Зловмисний користувач або процес операційної системи з низьким рівнем привілеїв може змінити хост-файл і потенційно перенаправити трафік із передбачуваного місця призначення на сайти, на яких розміщено шкідливий або небажаний вміст.

Ця проблема не стосується сервісного модуля iDRAC для Windows або VMWare ESXi

Наступні випуски сервісного модуля Dell EMC iDRAC містять усунення цієї вразливості:

• Dell EMC iDRAC Service Module 3.2.0.1 (для всіх підтримуваних операційних систем Linux і XenServer)
• Dell EMC iDRAC Service Module 3.1.0.1 (для всіх підтримуваних операційних систем Linux і XenServer)

Dell EMC рекомендує проводити оновлення за першої ж можливості. Нижче наведено завантаження для відповідної операційної системи:

• Пакети iSM 3.2.0.1 RPM для RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 і SLES 12
• Пакет iSM 3.2.0.1 DUP для RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 та SLES 12
• ISO-образ iSM 3.2.0.1 для XenServer 7

• Пакети iSM 3.1.0.1 RPM для RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 і SLES 12
• ISO-образ iSM 3.1.0.1 для XenServer 7

Dell EMC рекомендує всім користувачам визначити застосовність цієї інформації до своїх індивідуальних ситуацій і вжити відповідних заходів. Інформація, викладена в цьому документі, надається «як є» без будь-яких гарантій. Dell EMC відмовляється від будь-яких гарантій, явних або непрямих, включаючи гарантії придатності для продажу, придатності для певної мети, права власності та відсутності порушень. Ні в якому разі компанія Dell EMC або її постачальники не несуть відповідальності за будь-які збитки, включаючи прямі, непрямі, випадкові, побічні, втрату комерційного прибутку або особливі збитки, навіть якщо Dell EMC або її постачальники були попереджені про можливість таких збитків. Деякі штати не допускають виключення або обмеження відповідальності за непрямі або випадкові збитки, тому вищезазначене обмеження може не застосовуватися.