Používatelia servera Dell EMC VPlex GeoSynchrony požadujú upgrade na verziu v6.1, aby sa vyhli zraniteľnosti pri nezabezpečených oprávneniach súborov

V geosynchrónii Dell EMC VPlex bola zistená chyba zabezpečenia nezabezpečených súborov. Zistilo sa, že ovplyvňuje verzie staršie ako jeho verzia 6.1, najmä verzie 5.4, 5.5 a 6.0. Táto zraniteľnosť umožňuje útočníkom so škodlivým overením vzdialene čítať prostredníctvom konfiguračných súborov VPN. Toto zneužitie tiež predstavuje hrozbu, že útočník bude môcť vykonať útok typu man-in-the-middle na prenos VPN, pričom bude tajne prenášať a potenciálne pozmeňovať komunikáciu medzi dvoma koncovými bodmi, ktoré komunikujú za predpokladu úplnej integrity.

EMC VPlex spoločnosti Dell je riešenie na ukladanie dát virtuálneho počítača. Prvýkrát ho priniesla spoločnosť EMC v roku 2010. Tlieska sa mu za jeho schopnosť zasadiť sa do distribuovanej virtualizačnej vrstvy bez problémov cez (medzi a naprieč) geograficky neporovnateľnými sieťami úložných oblastí Fibre Channel a dátovými centrami.

Tejto zraniteľnosti bol pridelený identifikačný štítok Dell EMC DSA-2018-156 a identifikačný štítok CVE CVE-2018-11078. Považuje sa to za riziko so strednou závažnosťou a bolo vyhodnotené, že má základné skóre CVSS 3.0 4,0. Podľa predbežnej analýzy táto zraniteľnosť sužuje iba svedka. Ovplyvňuje modely Dell EMC VPlex GeooSynchrony 5,4 (všetky verzie), 5,5 (všetky verzie) a 6,0 (všetky verzie).

Pretože táto zraniteľnosť vystavuje váš systém nezabezpečenému zneužitiu povolení súborov vo verziách pred verziou 6.1, riešenie na zmiernenie, ktoré v tomto okamihu navrhuje spoločnosť Dell, je iba upgradom na verziu 6.2 geosynchrónie Dell VPlex. Pretože táto zraniteľnosť neobťažuje najnovšiu verziu, nezaručuje úplne nové vydanie aktualizácie, pretože práve najnovšie vydanie sama túto obavu zmierňuje.

Špeciálna poznámka od spoločnosti Dell pre tých, ktorí potrebujú aktualizáciu na zmiernenie tejto chyby zabezpečenia: žiada sa, aby ste sa obrátili na miestneho zástupcu v odbore, ktorý vám pomôže s plánovaním aktualizácie VPlex, ktorá vyžaduje oprávnenie na zmenu zmeny (CCA).