Varias vulnerabilidades de iDRAC de Dell EMC (CVE-2018-15774 y CVE-2018-15776)

• Versiones de iDRAC7/iDRAC8 de Dell EMC anteriores a 2.61.60.60 (CVE-2018-15774 y CVE-2018-15776)
• Versiones de iDRAC9 de Dell EMC anteriores a 3.20.21.20, 3.21.24.22, 3.21.26.22 y 3.23.23.23 (CVE-2018-15774)

• Vulnerabilidad de escalación de privilegios (CVE-2018-15774)

• Vulnerabilidad en el manejo incorrecto de errores (CVE-2018-15776)

Nota: Otros modelos de iDRAC no se ven afectados por las vulnerabilidades detalladas anteriormente.

Solución:   
Las siguientes versiones de firmware de iDRAC de Dell EMC contienen soluciones para estas vulnerabilidades:

Nota: Disponible a partir de la fecha de publicación.

Dell EMC recomienda que todos los clientes actualicen sus equipos lo antes posible. 

Prácticas recomendadas de Dell EMC con respecto a iDRAC:

Además de mantener el firmware actualizado de iDRAC, Dell EMC también aconseja considerar lo siguiente:

• Los iDRAC no están diseñados para ser instalados o conectados a Internet, están destinados a permanecer en una red de administración separada. La instalación o conexión de iDRAC directamente a Internet podría exponer al sistema conectado a riesgos de seguridad y de otro tipo de los que Dell EMC no es responsable.  
• Junto con la ubicación de los iDRAC en una subred de administración separada, los usuarios deben aislar la subred de administración/vLAN con tecnologías como firewalls y limitar el acceso a la subred/vLAN a los administradores de servidores autorizados.
• Dell EMC recomienda a los clientes tomar en cuenta cualquiera de los factores de implementación que pudieran ser de relevancia para su entorno a fin de evaluar sus riesgos a nivel global.

Enlace a las soluciones:

Los clientes pueden descargar el firmware de iDRAC para los servidores PowerEdge y para todas las demás plataformas, seleccione la plataforma en el sitio de soporte de Dell.

Crédito:

CVE-2018-15776: Dell EMC desea agradecer a Jon Sands y Adam Channel por informarnos este problema.

Dell EMC recomienda a todos los usuarios determinar la utilidad de esta información conforme a cada situación particular para tomar las medidas apropiadas. La información estipulada en este documento se proporciona “tal cual” sin garantías de ningún tipo. Dell EMC renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad, idoneidad para un propósito en particular, título e incumplimiento. En ningún caso Dell EMC ni sus proveedores serán responsables de daños, incluidos daños directos, indirectos, casuales y consecuentes, ni pérdida de ganancias comerciales o daños especiales, incluso si a Dell EMC o sus proveedores se les haya advertido la posibilidad de sufrir tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños resultantes o accidentales, por lo que la limitación anterior puede no ser aplicable.