Zranitelnosti v Dell EMC iDrac

Webový management Dell EMC iDrac obsahuje závažné zranitelnosti CVE-2019-3705, CVE-2019-3706 a CVE-2019-3707, které může útočník zneužít speciálně upraveným požadavkem k obejití autentizace, způsobení pádu webserveru či spuštění vlastního kódu.

30.4.2019 09:44 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Roman]

Kazdou chvili. Vsude nam cpou uzavrene BMC, Intel ME, AMD PSP... A neprejdou na otevrene reseni a neprejdou! Kdyz uz to vubec nejak jde, tak "udelej si sam", jako FB s OpenBMC

[R]

Najsmutnejsie na tom je, ze (i)DRAC bezi na Linuxe... DELL porusuje GPL (zdrojaky nedostupne) a nikomu to nevadi.

[/dev/win]

A co chces robit ? Vyhodit do vzduchu Dell Headquarters ? Kazdy z velkych hracov na GPL z vysoka se*e ... s rozbehom...

[Peter Golis]

Pravdepodobne by chcel vrátiť sponzorské príspevky od DellEMC ktoré venovali The Linux Foundation, a nahradiť ich jeho financiami priamo z jeho vrecka. Dell si zaplatil zlaté členstvo.

[MP]

A to otevrene reseni je jake? A umi to same co treba to BMC? A je bez der?

[Ruža Becelin]

Zakladni pravidla: 1. Zadny pristup na internet 2. Separatni VLAN s omezenym pristupem

Kdo je nedodrzi, jeho problem.

[/dev/win]

A to ti ten 1. bod v nejakej firme aj schvália ?

[Ruža Becelin]

Vsude, kde jsem byl - stacilo vysvetlit, k cemu BMC/DRAC/ILO je. Neni absolutne zadny duvod otevirat MANAGEMENT interface do internetu.

[xkucf03]

+1, tohle snad nikdo příčetný nepřipojuje k internetu, ne? Všude, kde jsem tyhle věci viděl, byly v oddělené síti.

[j]

V tom pripade jsou na netu miliony nepricetnejch ... staci par minut a najdes stovky kousku.

Jenze nekdy to mas stejny jako slepice nebo vejce. Vem si ze mas nekde server a potrebujes na nej pristup kdyz se neco podela (jinak toho draca/ilo/... nepotrebujes). A aby to bylo "bezpecny" potrebujes tudiz druhej server ... ale co kdyz nefunguje ani ten ...

[xkucf03]

To už bych před to radši strčil nějaké Raspberry Pi…

[Jendа]

Lepší je OpenWRT routřík:

• Má to dvě síťovky (jednu potřebuješ jako uplink a jednu na ten server), takže nemusíš řešir USB síťovku.
• Nemá to SD kartu která odejde.
• Je to menší a není to holá deska.
• Je to levnější…

[trekker.dk]

Jo, tak třeba u Supermicro strojů je tenhle management interface zaintegrovaný do onboard síťovky - tam už důvod mít ji připojenou do internetu je - a pokud BMC nechcete používat, je potřeba to explicitně vypnout. (Samozřejmě je pravda, že zneužít nenastavený management bude o dost složitější než nastavený, ale i tak bych preferoval, kdyby výchozí nastavení těch serverů bylo "používej jenom dedikovaný port", který na nich je)

[pushkin]

Co by chtěli, když je to v Javě :-/

[lmarmax]

ale di do prdele, Sáro... to jako v jinem stacku nejsou chyby? Tak si to napis v dotnetu :-P

[iDrac]

iDrac je v Jave? Nova konzole je supr cupr HTML 5.

[pushkin]

iDRAC asi ne, ale když tam chce člověk rozjet vzdálenou plochu, tak se stáne nějaké javovské sv...., pardon, blob, přes který to pak funguje. A je to moc fajn, protože to používá způsob zabezpečení, který už je i v Javě zakázaný (zdroj), takže když jsem se k tomu chtěl po pár letech připojit s aktuální Javou, tak mě to poslalo do určitých míst, dokud jsem opět nepovolil 3DES_EDE_CBC.

Hnus, velebnosti.

[xkucf03]

Aha, takže problém není až tak v Javě, jako spíš ve výrobci toho HW, který 1) ti dodává proprietární blob místo svobodného softwaru a 2) kašle na bezpečnost a neaktualizuje svůj software.

[Käyttäjä 11133]

ti dodává proprietární blob místo svobodného softwaru

Myslim ze ekonomove tomu rikaji pridana hodnota...

[Vantomas]

Minimálně do iDRAC7 je update, kdy se už tahle Java konzole nepoužívá a celá konzole je HTML5, hezky vč. remote device mountu a podobných vymožeností.

[pushkin]

Už jsem ho tam plácnul. Na další testy není čas, takže vyzkouším později.

[Jendа]

Hmm, update na PowerEdge R410 není?

[atx]

Já jako nejnovější vidím iDRAC 2.92 (z 2019-01-31), ve kterém by to už mělo být opravené.