Перейти к основному содержанию
 

Dell iDRAC 9 — уязвимость Path Traversal CVE-2020-5366

Information Seciurity

Во всех версиях серверного контроллера удаленного доступа iDRAC 9 найдена уязвимость CVE-2020-5366, позволяющая получить полный контроль над работой сервера для его включения и выключения, изменения настроек охлаждения, питания и т. п.

Дырку типа "Path Traversal" нашли эксперты Positive Technologies Георгий Кигурадзе и Марк Ермолов.

https://www.ptsecurity.com/ru-ru/about/news/dell-emc-ustranil-uyazvimost-v-servernom-kontrollere-udalennogo-dostupa-idrac-vyyavlennuyu-positive-technologies/

Эксплуатация уязвимости не так проста. Злоумышленнику требуется не только получить доступ к iDRAC, но и залогиниться под любым пользователем. Стоит учесть, что iDRAC имеет защиту от перебора пароля. Лишь после этого можно "выйти за пределя каталога" и считать любой файл встроенной операционной системы. Если у вас iDRAC не смотрит в Интернет и учётные записи вы не раздаёте кому попало, то можно спать спокойно.

Уязвимость получила оценку Severity Rating: CVSSv3 Base Score: 7.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L), что соответствует уровню опасности High.

Уязвимость исправлена в iDRAC 9 версии 4.20.20.20 от 08 июля 2020 г.

iDRAC 9 v 4.20.20.20 от 08 июля 2020 г

https://www.dell.com/support/article/ru-ru/sln322125/dsa-2020-128-idrac-local-file-inclusion-vulnerability?lang=en

iDRAC best practice:

  • iDRAC не должен сметреть в Интернет.
  • Dell EMC рекомендует использовать выделенный порт для подключения iDRAC к отдельной сети.
  • Админ должен изолировать подсеть управления или VLAN и ограничить доступ к подсети или VLAN авторизованным администраторам серверов.
  • Dell EMC рекомендует использовать 256-битное шифрование, а также TLS 1.2 или выше.
  • Dell EMC рекомендует дополнительные параметры, такие как фильтрация диапазона IP-адресов и режим блокировки системы.
  • Dell EMC рекомендует использовать дополнительные параметры аутентификации, такие как Microsoft Active Directory или LDAP.
  • Dell EMC рекомендует обновлять прошивку iDRAC.

Теги