Artikkelin numero: 000193005

Yhteenveto: Dell PowerScale OneFS remediation is available for multiple vulnerabilities that could be exploited by malicious users to compromise the affected system.

• Artikkelin sisältö
• Juridiset tiedot
• Artikkelin ominaisuudet
• Arvostele tämä artikkeli

Artikkelin sisältö

Vaikutus

Critical

Tiedot

Proprietary Code CVEs

Description

CVSS Base Score

CVSS Vector String

CVE-2021-21528

Dell EMC PowerScale OneFS versions 9.1.0, 9.2.0.x, and 9.2.1.x contain an Exposure of Information through Directory Listing vulnerability. A remote unauthenticated attacker may potentially exploit this vulnerability to gain unauthorized access to the filesystem.

7.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2021-36315

Dell EMC PowerScale Nodes contain a hardware design flaw. This may allow a local unauthenticated user to escalate privileges. This also affects Compliance mode and for Compliance mode clusters, is a critical vulnerability. Dell EMC recommends applying the workaround at your earliest opportunity.

6.8

CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Proprietary Code CVEs

Description

CVSS Base Score

CVSS Vector String

CVE-2021-21528

Dell EMC PowerScale OneFS versions 9.1.0, 9.2.0.x, and 9.2.1.x contain an Exposure of Information through Directory Listing vulnerability. A remote unauthenticated attacker may potentially exploit this vulnerability to gain unauthorized access to the filesystem.

7.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2021-36315

Dell EMC PowerScale Nodes contain a hardware design flaw. This may allow a local unauthenticated user to escalate privileges. This also affects Compliance mode and for Compliance mode clusters, is a critical vulnerability. Dell EMC recommends applying the workaround at your earliest opportunity.

6.8

CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Dell Technologies suosittelee, että kaikki asiakkaat ottavat huomioon sekä CVSS-peruspistemäärän että kaikki asiaankuuluvat väliaikaiset ja ympäristöön liittyvät pisteet, jotka voivat vaikuttaa tietyn tietoturvahaavoittuvuuden mahdolliseen vakavuuteen.

Tuotteet, joihin asia vaikuttaa ja tilanteen korjaaminen

CVEs Addressed

Affected Versions

Updated Versions

Link to Update

CVE-2019-20907

8.2.0, 8.2.1, 9.0.0.x, 9.2.0.x, 9.1.1.x

Upgrade your version of OneFS

8.2.2, 9.1.0.x , 9.2.1.x

Download and install the latest RUP

CVE-2021-21528

9.2.0.x

Upgrade your version of OneFS

PowerScale OneFS Downloads Area

9.1.0.x , 9.2.1.x

Download and install the latest RUP

CVE-2021-36315

A100, S210, X410, H400, X210, NL410, A200, A2000, H400, H500,
H600, H5600, F800, F810,F200, F600, A300, A3000, H700, H7000

See Knowledge Article 192465: [Isilon] How to enable/disable USB boot and/or secure the BIOS on Isilon nodes.

See the PowerScale Security Configuration Guide
Section: Disable USB Boot on nodes.

Note: The above table may not be a comprehensive list of all affected supported versions and may be updated as more information becomes available.

CVEs Addressed

Affected Versions

Updated Versions

Link to Update

CVE-2019-20907

8.2.0, 8.2.1, 9.0.0.x, 9.2.0.x, 9.1.1.x

Upgrade your version of OneFS

8.2.2, 9.1.0.x , 9.2.1.x

Download and install the latest RUP

CVE-2021-21528

9.2.0.x

Upgrade your version of OneFS

PowerScale OneFS Downloads Area

9.1.0.x , 9.2.1.x

Download and install the latest RUP

CVE-2021-36315

A100, S210, X410, H400, X210, NL410, A200, A2000, H400, H500,
H600, H5600, F800, F810,F200, F600, A300, A3000, H700, H7000

See Knowledge Article 192465: [Isilon] How to enable/disable USB boot and/or secure the BIOS on Isilon nodes.

See the PowerScale Security Configuration Guide
Section: Disable USB Boot on nodes.

Note: The above table may not be a comprehensive list of all affected supported versions and may be updated as more information becomes available.

Keinoja ongelman kiertämiseen tai lieventämiseen

Workarounds or Mitigations

CVE-2021-21528

Verify that a value for redirect flag is set.
Check the current gconfig value:

# isi_gconfig -q -t http-config redirect

If nothing is returned, this means the value has not been set, and is using defaults. This must be set to true:

isi_gconfig -q -t http-config redirect=true

Confirm the value is now set:

isi_gconfig -q -t http-config redirect

In Compliance Mode:
Verify that a value for redirect flag is set.
Check the current gconfig value:

# sudo isi_gconfig -q -t http-config redirect

If nothing is returned, this means the value has not been set, and is using defaults. This must be set to true:

# sudo isi_gconfig -q -t http-config redirect=true

Confirm the value is now set:

sudo isi_gconfig -q -t http-config redirect

CVE-2021-36315

See the PowerScale Security Configuration Guide

Python

None

cURL

None

Versiohistoria

Revision

Date

Description

1.0

2021-10-28

Initial Release

2.0

2021-11-08

Links and CVEs updated

Asiaan liittyvät tiedot

Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide

Juridiset tiedot

Tämän Dell Technologiesin tietoturvatiedotteen tiedot on luettava, ja niiden avulla voidaan välttää tilanteita, jotka voivat johtua tässä kuvatuista ongelmista. Dell Technologiesin tietoturvatiedotteet tuovat tärkeitä tietoturvatietoja haavoittuvuudelle alttiiden tuotteiden käyttäjien tietoon. Dell Technologies arvioi riskin perustuen asennettujen järjestelmien hajautetun joukon keskimääräisiin riskeihin, eikä se välttämättä vastaa paikallisen asennuksen ja yksittäisen ympäristön todellista riskiä. Suositus on, että kaikki käyttäjät ratkaisevat näiden tietojen sovellettavuuden yksittäisten ympäristöjen mukaan ja ryhtyvät tarvittaviin toimenpiteisiin. Tässä esitetyt tiedot annetaan “sellaisenaan” ilman minkäänlaista takuuta. Dell Technologies kiistää kaikki suorat tai epäsuorat takuut, mukaan lukien takuut soveltuvuudesta kaupankäynnin kohteeksi, sopivuudesta tiettyyn käyttötarkoitukseen, omistusoikeudesta ja loukkaamattomuudesta. Dell Technologies, sen tytäryhtiöt tai toimittajat eivät missään tilanteessa ole vastuussa mistään vahingoista, jotka johtuvat tässä asiakirjassa mainituista tiedoista tai toimenpiteistä, joihin käyttäjä päättää ryhtyä. Tämä koskee kaikkia suoria, epäsuoria, satunnaisia, välillisiä, liikevoiton menetykseen liittyviä tai erityisluontoisia vahinkoja, vaikka Dell Technologies tai sen tytäryhtiöt tai toimittajat olisivat saaneet tiedon tällaisten vahinkojen mahdollisuudesta. Jotkin osavaltiot eivät salli satunnaisten tai seuraamuksellisten vahinkojen vastuun poistamista tai rajoittamista, joten edellä mainittua rajoitusta sovelletaan vain lain sallimassa laajuudessa.

Artikkelin ominaisuudet

Tuote, johon asia vaikuttaa

Isilon A100, Isilon A200, Isilon A2000, Isilon F800, Isilon F810, Isilon H400, Isilon H500, Isilon H600, Isilon NL410, Isilon S210, Isilon X210, Isilon X410, PowerScale Archive A300, PowerScale Archive A3000, PowerScale F200, PowerScale F600Näytä lisää

Edellinen julkaisupäivä

08 marras 2021

Versio

2

Artikkelin tyyppi

Dell Security Advisory

Arvostele tämä artikkeli