ID CVE : CVE-2018-3615, CVE-2018-3620, CVE-2018-3646
Dell a conscience de l’existence d’une classe récemment divulguée de vulnérabilités d’exécution spéculative du processeur (CVE-2018-3615, CVE-2018-3620 et CVE-2018-3646) désignées collectivement par L1TF (L1 Terminal Fault) qui affectent les microprocesseurs Intel. Pour plus d’informations sur ces vulnérabilités, veuillez consulter l’avis de sécurité publié par Intel.
Dell évalue l’incidence de ces vulnérabilités sur nos produits et nous travaillons avec Intel et d’autres partenaires du secteur afin de les limiter. Les étapes à suivre pour réduire les risques peuvent varier en fonction des produits et peuvent inclure des mises à jour du firmware, du système d’exploitation et des composants de l’hyperviseur.
Dell EMC recommande à ses clients de suivre les bonnes pratiques en matière de protection contre les logiciels malveillants, afin de se protéger contre une éventuelle exploitation de ces vulnérabilités, et ce jusqu’à l’application des prochaines mises à jour. Ces pratiques incluent, sans s’y limiter, de déployer rapidement les mises à jour des logiciels, d’éviter les liens hypertextes et les sites Web inconnus, de ne jamais télécharger de fichiers ou d’applications provenant de sources inconnues et d’utiliser un antivirus à jour et des solutions avancées de protection contre les menaces.
Serveurs Dell EMC PowerEdge/Appliances hyperconvergées XC
Vous devez appliquer deux composants essentiels pour atténuer les vulnérabilités mentionnées ci-dessus :
1. Le BIOS du système a été publié précédemment pour CVE-2018-3639 et CVE-2018-3640 et contient le microcode nécessaire. Consultez les tableaux de produit correspondant à votre système.
2. Les mises à jour du système d’exploitation et de l’hyperviseur.
Si le BIOS de votre produit fait partie de la liste des BIOS mis à jour, Dell EMC vous recommande de le mettre à niveau et d’appliquer les correctifs du système d’exploitation appropriés afin d’atténuer les vulnérabilités liées aux CVE répertoriés.
Produits de stockage Dell EMC (série SC, série PS et série PowerVault MD)
Consultez les tableaux des produits pour connaître les étapes de réduction des risques et d’analyse.
Produits de gestion de réseau Dell EMC
Consultez les tableaux des produits pour connaître les étapes de réduction des risques et d’analyse.
Pour obtenir des informations sur les autres produits Dell, reportez-vous à https://www.dell.com/support/article/sln318303.
|
Ligne de produits Dell Storage
|
Évaluation
|
| EqualLogic PS Series | Sans objet. Le processeur utilisé dans le produit n’est pas concerné par les problèmes signalés. Le processeur utilisé est un processeur Broadcom MIPS sans exécution spéculative. |
| Série SC Dell EMC (Compellent) | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit être en mesure d’exécuter un code malveillant sur le système cible. Le produit est conçu pour empêcher les utilisateurs de charger et d’exécuter un code externe et/ou non fiable sur le système. Les problèmes signalés ne génèrent pas d’autres risques de sécurité pour le produit. |
| Séries MD3 et DSMS MD3 Dell Storage | |
| Lecteurs de bande et bibliothèques Dell PowerVault | |
| Dell Storage série FluidFS (inclut : FS8600, FS7600, FS7610, FS7500, NX3600, NX3610, NX3500) | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code externe et/ou potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges racines ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence recommandées pour protéger l’accès au compte à privilèges élevés soient respectées. |
|
Appliance virtuelle Dell Storage
|
Évaluation
|
| Appliance virtuelle Dell Storage Manager (DSM VA - Compellent) | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code externe et/ou potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges racines ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence recommandées pour protéger l’accès au compte à privilèges élevés soient respectées. Il est fortement conseillé aux clients d’appliquer un correctif sur l’environnement hôte virtuel dans lequel le produit est déployé afin de bénéficier d’une protection complète. |
| Outils d’intégration Dell Storage pour VMWare (Compellent) | |
| Dell EqualLogic Virtual Storage Manager (VSM - EqualLogic) |
|
Ligne de produits Dell Storage
|
Évaluation
|
| Famille Dell Storage NX | Affecté. Voir les informations pertinentes sur les serveurs PowerEdge pour en savoir plus sur le correctif du BIOS. Suivez les recommandations adaptées du fournisseur du système d’exploitation sur l’atténuation au niveau du système d’exploitation. |
| Famille Dell Storage DSMS |
| Plates-formes | Évaluation |
| Série C - C1048P, C9010 | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. |
| Agrégateur M E/S | Sans objet. Le processeur utilisé dans les produits n’est pas concerné par les problèmes signalés. |
| MXL | |
| FX2 | |
| N11xx, N15xx, N20xx, N30xx | |
| N2128PX, N3128PX | |
| Navasota | |
| S55, S60 | |
| SIOM | |
| Série S - Standard et -ON | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. |
| Série Z - Standard et ON |
| Plates-formes | Évaluation |
| Commutateurs série PowerConnect | Sans objet. Le processeur utilisé dans les produits n’est pas concerné par les problèmes signalés. |
| Cartes de ligne de série C9000 | |
| Mellanox série SB7800, série SX6000 | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. |
| Logiciel de la plate-forme | Évaluation |
| Machine virtuelle et émulateur | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. Il est conseillé aux clients d’appliquer un correctif sur l’environnement hôte virtuel dans lequel le produit est déployé afin de bénéficier d’une protection complète. |
| Versions OS10.4.0 et antérieures Base et Enterprise | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. |
| OS10.4.1 Base et Enterprise | |
| OS9, toutes les versions | Sans objet. Le système d’exploitation n’est pas vulnérable à cette attaque. |
| Plateforme | Évaluation |
| Série W | Sans objet. Le processeur utilisé dans les produits n’est pas concerné par les problèmes signalés. |
| Appliances sans fil : | |
| W-Airwave | Aucun autre risque de sécurité. Pour tirer parti de ces vulnérabilités, un attaquant doit d’abord être en mesure d’exécuter un code malveillant sur le système cible. L’accès au produit pour charger un code potentiellement non approuvé est réservé aux utilisateurs disposant de privilèges root ou équivalent uniquement. Les problèmes signalés n’introduisent aucun risque de sécurité supplémentaire pour le produit, à condition que les pratiques d’excellence de sécurité recommandées pour protéger l’accès des comptes à privilèges élevés soient respectées. Il est conseillé aux clients d’appliquer un correctif sur l’environnement hôte virtuel dans lequel le produit est déployé afin de bénéficier d’une protection complète. |
| Appliances matérielles W-ClearPass | |
| Appliances virtuelles W-ClearPass | |
| Logiciel W-ClearPass 100 | Sans objet. Le logiciel fonctionne dans un environnement virtuel. Il est fortement conseillé aux clients d’appliquer un correctif sur l’environnement hôte virtuel dans lequel le produit est déployé. |