Headline
CVE-2021-36300: DSA-2021-177: Dell EMC iDRAC Security Update for Multiple Security Vulnerabilities
iDRAC9 versions prior to 5.00.00.00 contain an improper input validation vulnerability. An unauthenticated remote attacker may potentially exploit this vulnerability by sending a specially crafted malicious request to crash the webserver or cause information disclosure.
Vaikutus
High
Tiedot
Proprietary Code CVEs
Description
CVSS Base Score
CVSS Vector String
CVE-2021-36299
Dell iDRAC9 versions 4.40.00.00 and later but before 4.40.29.00 and 5.00.00.00 contain an SQL injection vulnerability. A remote authenticated malicious user with low privileges may potentially exploit this vulnerability to cause information disclosure or denial of service by supplying specially crafted input data to the affected application.
7.1
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L
CVE-2021-36300
iDRAC9 versions before 5.00.00.00 contain an improper input validation vulnerability. An unauthenticated remote attacker may potentially exploit this vulnerability by sending a specially crafted malicious request to make the webserver unresponsive or cause information disclosure.
6.5
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:L
CVE-2021-36301
Dell iDRAC9 before version 4.40.40.00 and iDRAC8 before version 2.80.80.80 contain a Stack Buffer Overflow in Racadm. An authenticated remote attacker may potentially exploit this vulnerability to control process execution and gain access to the underlying operating system.
5.9
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N
Third-party Component
CVEs
More information
ZeroMQ
CVE-2021-20235
See NVD (https://nvd.nist.gov/vuln/detail/CVE-2021-20235) for individual scores for each CVE.
Proprietary Code CVEs
Description
CVSS Base Score
CVSS Vector String
CVE-2021-36299
Dell iDRAC9 versions 4.40.00.00 and later but before 4.40.29.00 and 5.00.00.00 contain an SQL injection vulnerability. A remote authenticated malicious user with low privileges may potentially exploit this vulnerability to cause information disclosure or denial of service by supplying specially crafted input data to the affected application.
7.1
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L
CVE-2021-36300
iDRAC9 versions before 5.00.00.00 contain an improper input validation vulnerability. An unauthenticated remote attacker may potentially exploit this vulnerability by sending a specially crafted malicious request to make the webserver unresponsive or cause information disclosure.
6.5
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:L
CVE-2021-36301
Dell iDRAC9 before version 4.40.40.00 and iDRAC8 before version 2.80.80.80 contain a Stack Buffer Overflow in Racadm. An authenticated remote attacker may potentially exploit this vulnerability to control process execution and gain access to the underlying operating system.
5.9
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N
Third-party Component
CVEs
More information
ZeroMQ
CVE-2021-20235
See NVD (https://nvd.nist.gov/vuln/detail/CVE-2021-20235) for individual scores for each CVE.
Dell Technologies suosittelee, että kaikki asiakkaat ottavat huomioon sekä CVSS-peruspistemäärän että kaikki asiaankuuluvat väliaikaiset ja ympäristöön liittyvät pisteet, jotka voivat vaikuttaa tietyn tietoturvahaavoittuvuuden mahdolliseen vakavuuteen.
Tuotteet, joihin asia vaikuttaa ja tilanteen korjaaminen
CVEs Addressed
Product
Affected Versions
Updated Versions
Link to Update
CVE-2021-36299
Dell EMC iDRAC9
Versions 4.40.00.00 and later, but before 4.40.29.00 and 5.00.00.00
4.40.29.00 and 5.00.00.00
4.40.29.00
5.00.00.00
CVE-2021-36300
Dell EMC iDRAC9
Versions before 5.00.00.00
5.00.00.00
5.00.00.00
CVE-2021-20235
Dell EMC iDRAC9 Group Manager feature over the IPv6 linklocal interface
Versions before 5.00.10.00
5.00.10.00
5.00.10.00
Note: Version 5.00.10.00 has been demoted.
If version 5.00.10.00 was not applied before demotion, see Workarounds and Mitigations section.
CVE-2021-36301
Dell EMC iDRAC8 and Dell EMC iDRAC9
Versions before 2.80.80.80 and 4.40.40.00
2.80.80.80 and 4.40.40.00
2.80.80.80
4.40.40.00
CVEs Addressed
Product
Affected Versions
Updated Versions
Link to Update
CVE-2021-36299
Dell EMC iDRAC9
Versions 4.40.00.00 and later, but before 4.40.29.00 and 5.00.00.00
4.40.29.00 and 5.00.00.00
4.40.29.00
5.00.00.00
CVE-2021-36300
Dell EMC iDRAC9
Versions before 5.00.00.00
5.00.00.00
5.00.00.00
CVE-2021-20235
Dell EMC iDRAC9 Group Manager feature over the IPv6 linklocal interface
Versions before 5.00.10.00
5.00.10.00
5.00.10.00
Note: Version 5.00.10.00 has been demoted.
If version 5.00.10.00 was not applied before demotion, see Workarounds and Mitigations section.
CVE-2021-36301
Dell EMC iDRAC8 and Dell EMC iDRAC9
Versions before 2.80.80.80 and 4.40.40.00
2.80.80.80 and 4.40.40.00
2.80.80.80
4.40.40.00
Keinoja ongelman kiertämiseen tai lieventämiseen
CVE-2021-20235 is mitigated in Dell EMC iDRAC9 when the Group Manager Feature is disabled. For Group Manager configuration steps, see the iDRAC9 Security Configuration Guide.
.
Versiohistoria
Revision
Date
Description
2.0
2021-10-01
Update to Affected Products and Remediation section and
Workarounds and Mitigations section
1.0
2021-09-09
Initial Release
Asiaan liittyvät tiedot
Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide
Tämän Dell Technologiesin tietoturvatiedotteen tiedot on luettava, ja niiden avulla voidaan välttää tilanteita, jotka voivat johtua tässä kuvatuista ongelmista. Dell Technologiesin tietoturvatiedotteet tuovat tärkeitä tietoturvatietoja haavoittuvuudelle alttiiden tuotteiden käyttäjien tietoon. Dell Technologies arvioi riskin perustuen asennettujen järjestelmien hajautetun joukon keskimääräisiin riskeihin, eikä se välttämättä vastaa paikallisen asennuksen ja yksittäisen ympäristön todellista riskiä. Suositus on, että kaikki käyttäjät ratkaisevat näiden tietojen sovellettavuuden yksittäisten ympäristöjen mukaan ja ryhtyvät tarvittaviin toimenpiteisiin. Tässä esitetyt tiedot annetaan “sellaisenaan” ilman minkäänlaista takuuta. Dell Technologies kiistää kaikki suorat tai epäsuorat takuut, mukaan lukien takuut soveltuvuudesta kaupankäynnin kohteeksi, sopivuudesta tiettyyn käyttötarkoitukseen, omistusoikeudesta ja loukkaamattomuudesta. Dell Technologies, sen tytäryhtiöt tai toimittajat eivät missään tilanteessa ole vastuussa mistään vahingoista, jotka johtuvat tässä asiakirjassa mainituista tiedoista tai toimenpiteistä, joihin käyttäjä päättää ryhtyä. Tämä koskee kaikkia suoria, epäsuoria, satunnaisia, välillisiä, liikevoiton menetykseen liittyviä tai erityisluontoisia vahinkoja, vaikka Dell Technologies tai sen tytäryhtiöt tai toimittajat olisivat saaneet tiedon tällaisten vahinkojen mahdollisuudesta. Jotkin osavaltiot eivät salli satunnaisten tai seuraamuksellisten vahinkojen vastuun poistamista tai rajoittamista, joten edellä mainittua rajoitusta sovelletaan vain lain sallimassa laajuudessa.
iDRAC8, iDRAC9, iDRAC9 - 3.0x Series, iDRAC9 - 3.1x Series, iDRAC9 - 3.2x Series, iDRAC9 - 3.3x Series, iDRAC9 - 3.4x Series, iDRAC9 - 4.xx Series, iDRAC9 - 5.xx Series, Product Security Information