Dell EMC iDRAC – flera säkerhetsproblem (CVE-2018-15774 och CVE-2018-15776)

• Dell EMC iDRAC7-/iDRAC8-versioner tidigare än 2.61.60.60 (CVE-2018-15774 och CVE-2018-15776)
• Dell EMC iDRAC9-versionser tidigare än 3.20.21.20, 3.21.24.22, 3.21.26.22 och 3.23.23.23 (CVE-2018-15774)

• Säkerhetsproblem med utökad behörighet (CVE-2018-15774)

• Säkerhetsproblem med felaktig felhantering (CVE-2018-15776)

Obs! Andra modeller av iDRAC påverkas inte av de säkerhetsproblem som beskrivs ovan.

Lösning:   
Följande versioner av fast programvara för Dell EMC iDRAC innehåller lösningar på dessa säkerhetsproblem:

Obs! Tillgängligt från publiceringsdatumet.

Dell EMC rekommenderar att alla kunder uppgraderar så snart som möjligt. 

Bästa praxis för Dell EMC avseende iDRAC:

Utöver att hantera uppdaterad fast programvara för iDRAC rekommenderar Dell EMC även följande:

• iDRAC-plattformar är inte utformade eller avsedda för att placeras på eller anslutas till internet. De är avsedda att användas i ett separat hanteringsnätverk. Om du placerar eller ansluter iDRAC-plattformar direkt på internet kan det innebära att det anslutna systemet utsätts för säkerhetrisker och andra risker som Dell EMC inte ansvarar för.  
• Utöver att placera iDRAC-plattformar i ett separat hanteringsdelnät ska användare isolera hanteringsdelnätet/vLAN med hjälp av tekniska lösningar, till exempel brandväggar, och begränsa åtkomst till delnätet/vLAN till godkända serveradministratörer.
• Dell EMC rekommenderar sina kunder att ta hänsyn till eventuella driftsättningsfaktorer som kan vara relevanta för deras miljö för att bedöma den övergripande risken.

Länk till åtgärder:

Du kan hämta fast programvara för iDRAC för PowerEdge-servrar och för alla andra plattformar väljer du plattformen på Dells supportwebbplats.

Kredit:

CVE-2018-15776: Dell EMC tackar Jon Sands och Adam Forrest för att de rapporterade det här problemet till oss.

Dell EMC rekommenderar att alla användare avgör huruvida den här informationen är tillämplig för deras enskilda situation och vidtar lämplig åtgärd. Informationen häri tillhandahålls ”i befintligt skick” utan garanti av något slag. Dell EMC frånsäger sig alla garantier, vare sig uttryckliga eller underförstådda, inklusive garantier om säljbarhet, lämplighet för ett visst ändamål, titel och icke-intrång. Under inga omständigheter ska Dell EMC eller dess leverantörer hållas ansvariga för några som helst skador, inklusive direkta och indirekta skador, följdskador, affärsförluster och särskilda skador, även om Dell EMC eller dess leverantörer har informerats om risken för sådana skador. Eftersom vissa länder inte tillåter undantag eller begränsning av ansvar för indirekta skador eller följdskador kanske ovannämnda begränsning inte gäller.