IDRAC8 ファームウェアバージョン2.81.81.81 で HTTP/HTTPS FQDN 接続エラーが発生する
Summary: Dell EMC Integrated Dell Remote Access Controller 8 (iDRAC8) ファームウェアバージョン2.81.81.81 は、FQDN が iDRAC RAC 名として定義されていない場合、完全修飾ドメイン名 (FQDN) を介して HTTP/HTTPS アクセスをブロックします。
Symptoms
Dell EMC Integrated Dell Remote Access Controller 8 (iDRAC8) ファームウェアバージョン2.81.81.81 では、完全修飾ドメイン名 (FQDN) アドレスを指定する際に、ユーザーの接続に影響する可能性のある HTTP/HTTPS 接続の変更が導入されました。これらの変更により、iDRAC8 のユーザーは、接続エラー、リダイレクト、「400-不正な要求」のエラーが発生する可能性があります。指定された FQDN が iDRAC の「Idrac.nic.dnsracname」または「DNSDomainName」の値と一致しない場合、これらの接続 sightings が発生します。
ブラウザのエラーの例:
Curl エラーの例:
root@rhel7-vm:~$ curl -k https://iR630-A.dell.com/ <!DOCTYPE html><head><title>Bad Request</title><link rel="shortcut icon" href="data:image/x-icon;," type="image/x-icon"></head><body><h2>Access Error: 400 -- Bad Request</h2><pre></pre></body></html>Cause
IDRAC8 ファームウェアバージョン2.81.81.81.81 のウェブサーバは、HTTP/HTTPS ホストヘッダチェックをデフォルトで実施します。Dell セキュリティアドバイザリ:DSA-2021-041の詳細については、次の情報を参照してください。Dell、ホストヘッダインジェクションの脆弱性に対する8つのセキュリティ更新を iDRAC ます。
Resolution
デフォルトでは、iDRAC8 は HTTP/HTTPS ホストヘッダーを確認し、定義済みの「Idrac.nic.dnsracname」と「DNSDomainName」と比較します。これらの値が一致しない場合、iDRAC は HTTP/HTTPS 接続を拒否します。IDRAC8 2.81.81.81 では、次の RACADM コマンドを使用して、このホストヘッダーの強制を無効にすることができます。
#Disable host header check
racadm set idrac.webserver.HostHeaderCheck 0
メモ：DNS 環境内に手動のホストレコードが存在する場合にのみ、HostHeaderCheck 値を「0」に設定します。
HTTP/HTTPS ホストヘッダーのチェックが有効 (より安全) になっている場合は、IPv4/IPv6 アドレス、RAC 名、定義されている iDRAC FQDN (Idrac.nic.dnsracname ドメイン名) を使用して iDRAC にアクセスできます。エンドユーザーが、iDRAC が認識できないホスト名を使用してアクセスしている (DNS レコードに手動で追加された DNS エントリなど) 場合、iDRAC8 ファームウェア2.81.81.81 のファームウェアバージョンには、新しい属性「Manualdnsentry」が導入されています。この新しい設定は、最大4個の IP アドレス/ホスト名/Fqdn を使用して更新できます。これにより、ホストヘッダーの許可リストを指定できます。これにより、HTTP/HTTPS ホストヘッダーが [ManualDNSEntry] 設定のいずれかのエントリーを送信する場合に、受信リクエストが破棄されないようになります。
# Add manual entry to allow list
racadm set idrac.webserver.ManualDNSEntry 192.168.20.30
racadm set idrac.webserver.ManualDNSentry 192.168.20.30,idrac.mydomain.com
この追加の構成は、次のような場合に必要になります。
- エンドユーザーは、手動の DNS 設定を使用して iDRAC にアクセスしています (手動 DNS ホストレコード
- IDRAC にアクセスするために、サブジェクト代替名/ワイルドカード証明書が使用されます。
- ホストの IP アドレスを直接使用した iDRAC へのアクセス (ISM 経由)