Vulnerabilidades en iDRAC - PowerEdge Dell EMC

El equipo de seguridad de Dell ha corregido 4 vulnerabilidades que pueden ser explotadas por usuarios maliciosos en iDRAC.

¿Qué es iDRAC?

'Integrated Dell Remote Access Controller' (iDRAC) permite implementar, actualizar, supervisar y mantener los servidores Dell PowerEdge con o sin un agente de software de administración de sistemas. Se encuentra integrado dentro del servidor por lo que iDRAC no requiere de un sistema operativo o un hipervisor para funcionar.

Visión global del sistema

Simplifica las tareas de administración del ciclo de vida del servidor, como el aprovisionamiento, implementación, mantenimiento, instalación de parches y actualizaciones.

Algunas de sus funciones:

• Energía: Los administradores entre otras cosas pueden en caso de bloqueo del sistema realizar un reinicio del servidor.
• Consola: EL administrador puede interactuar con el servidor a través de la consola remota, evitando estar físicamente delante de la máquina en caso de perder la conexión con el sistema operativo. 
• Medios virtuales: Permite montar imágenes de disco compartidas en red.

También permite supervisar la temperatura, ventiladores y los eventos del sistema.

Supervisión de logs en iDRAC9

Vulnerabilidades reportadas:

CVE-2018-1249

Las versiones de Dell EMC iDRAC9 anteriores a 3.21.21.21 no exigen el uso de TLS/SSL para establecer la conexión con el servidor web de iDRAC en ciertas URLs. Un atacante podría explotar esta vulnerabilidad para realizar un ataque 'mitm' (man-in-the-middle) y evitar que el cliente establezca una conexión cifrada con el servidor.

https://nvd.nist.gov/vuln/detail/CVE-2018-1249
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1249

---

CVE-2018-1244

Tanto las versiones anteriores a 2.60.60.60 de Dell EMC iDRAC7/iDRAC8 como 3.21.21.21 de iDRAC9 contienen una vulnerabilidad de inyección de comandos en el agente SNMP. Un atacante autenticado podría aprovechar esta vulnerabilidad para ejecutar comandos arbitrarios en iDRAC, donde las alertas de SNMP están habilitadas.

https://nvd.nist.gov/vuln/detail/CVE-2018-1244
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1244

---

CVE-2018-1212

La consola de diagnóstico web en Dell EMC iDRAC6 (todas las versiones modulares) contiene una vulnerabilidad de inyección de comandos. Un usuario malicioso autenticado de forma remota con acceso a la consola de diagnóstico podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios como root en el sistema que no se encuentre actualizado.

https://nvd.nist.gov/vuln/detail/CVE-2018-1212
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1212

---

CVE-2018-1243

Las versiones anteriores a 2.91 de iDRAC6, 2.60.60.60 en iDRAC7/iDRAC8, así como 3.21.21.21 en iDRAC9, contienen una vulnerabilidad de ID de sesión CGI débil. Las sesiones invocadas a través de binarios CGI utilizan valores de 96 bits, lo que facilita a los atacantes remotos realizar ataques de fuerza bruta.

https://nvd.nist.gov/vuln/detail/CVE-2018-1243
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1243

---

Breve introducción donde se pueden apreciar algunas funciones de iDRAC9

Dell ya ha publicado un documento de soporte para solucionar las vulnerabilidades comentadas anteriormente, así como consejos para mantener al día el firmware de iDRAC.

Laboratorio Hispasec

Más información:

Dell EMC iDRAC response to multiple CVE's
http://en.community.dell.com/techcenter/extras/m/white_papers/20487494

Vulnerabilidad XXE en Dell EMC ECOM

Dell EMC Common Object Manager (ECOM), componente utilizado en varios productos de Dell EMC que se encuentran afectados por una vulnerabilidad XXE (XML External Entity).

Una vulnerabilidad de XXE se aprovecha de la configuración del intérprete XML permitiendo:

• Enviar información a una máquina externa (entidades externas).
• Aumentar la carga de red y sistema (ataque de denegación de servicio).

ECOM se ve afectado por una vulnerabilidad de inyección XXE debido a la configuración del analizador XML del producto.


El fallo permitiría incluir referencias hacia entidades externas definidas por el atacante o configuraciones especialmente manipuladas que serían procesadas por el parser XML afectado. Lo que podría ser aprovechado por un atacante remoto para saltar restricciones de seguridad y acceder a ficheros protegidos o provocar una denegación de servicio.

Se explota la vulnerabilidad para incluir el contenido de /etc/passwd

Los productos afectados son:

• Dell EMC Unisphere for VMAX Virtual Appliance en versiones previas a 8.4.0.8.
• Dell EMC Solutions Enabler Virtual Appliance en versiones previas a 8.4.0.8
• Dell EMC VASA Provider Virtual Appliance en versiones previas a 8.4.0.512
• Dell EMC SMIS en versiones previas a 8.4.0.6
• Dell EMC VMAX Embedded Management (eManagement) versión 1.4.0.347 y previas.
• Dell EMC VNX2 Operating Environment (OE) for File en versiones previas a 8.1.9.231.
• Dell EMC VNX2 Operating Environment (OE) for Block en versiones previas a 05.33.009.5.231.
• Dell EMC VNX1 Operating Environment (OE) for File en versiones previas a 7.1.82.0.
• Dell EMC VNX1 Operating Environment (OE) for Block en versiones previas a 05.32.000.5.225.
• Dell EMC VNXe3200 Operating Environment (OE) en todas sus versiones.
• Dell EMC VNXe1600 Operating Environment (OE) en versiones previas a 3.1.9.9570228.
• Dell EMC VNXe 3100/3150/3300 Operating Environment (OE) en todas sus versiones.
• Dell EMC ViPR SRM versiones 3.7, 3.7.1, 3.7.2 (sólo si se usa Dell EMC Host Interface para Windows).
• Dell EMC ViPR SRM versiones 4.0, 4.0.1, 4.0.2, 4.0.3 (sólo si se usa Dell EMC Host Interface para Windows).
• Dell EMC XtremIO versiones 4.x.
• Dell EMC VMAX eNAS versiones 8.x.
• Dell EMC Unity Operating Environment (OE) en versiones previas a 4.3.0.1522077968.

Se recomienda aplicar los parches de seguridad correspondientes desde la web del fabricante.

Laboratorio Hispasec

Mas información

DSA-2018-013: Dell EMC ECOM XML External Entity Injection Vulnerability
http://seclists.org/fulldisclosure/2018/Apr/54

XML External Entity (XXE) Processing
https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Processing

Ordenadores Dell vulnerables por el software preinstalado

Se han reportado tres vulnerabilidades en ordenadores Dell que podrían permitir a atacantes desactivar protecciones de seguridad, elevar privilegios y ejecutar código arbitrario. Una vez más los problemas residen en el software propietario preinstalado por Dell.

El software propietario preinstalado por los fabricantes, también conocido como "bloatware", suele ser causa habitual de problemas junto con un consumo innecesario de espacio y recursos. Pero además, no suele estar exento de vulnerabilidades que pueden llegar a comprometer gravemente la seguridad de los sistemas.

Los problemas han sido anunciados por el investigador Marcin 'Icewall' Noga del equipo Cisco Talos y antiguo compañero de Hispasec. Los problemas se encuentran en el software de servicio Dell Precision Optimizer y en Invincea-X e Invincea Dell Protected Workspace.

Vulnerability Spotlight: Dell Precision Optimizer and Invincea Vulnerabilities https://t.co/qiYFzqpA0i

— Talos Group (@TalosSecurity) 30 de junio de 2017

El primer problema, con CVE-2016-9038, reside en una doble búsqueda en el controlador SboxDrv.sys. La vulnerabilidad se puede explotar mediante el envío de datos específicos al controlador de dispositivo \Device\SandboxDriverApi que es accesible para todos como de lectura y escritura. Esto puede permitir la escritura de un valor arbitrario en el espacio de memoria del kernel, que puede conducir a la escalada de privilegios locales. Afecta a Invincea-X y Dell Protected Workspace 6.1.3-24058.

Por otra parte, con CVE-2016-8732, múltiples vulnerabilidades en uno de los componentes del controlador 'InvProtectDrv.sys' incluido en la versión 5.1.1-22303 de Invincea Dell Protected Workspace; una solución de seguridad ofrecida por Dell que pretende proporcionar una protección mejorada para los puntos finales. Los problemas residen en las débiles restricciones en el canal de comunicaciones del controlador, así como a una validación insuficiente. De forma que un atacante podría aprovechar este controlador para desactivar algunos de los mecanismos de protección proporcionados por el software. Afecta a Invincea Dell Protected Workspace 5.1.1-22303. Esta vulnerabilidad está corregida en la versión 6.3.0 del software.

Por último, con CVE-2017-2802, un problema de carga de librerías en la aplicación Dell Precision Optimizer. Durante el arranque del servicio 'Dell PPO Service', incluido en la aplicación Dell Precision Optimizer, el programa 'c:\Archivos de programa\Dell\PPO\poaService.exe' carga la dll, 'c:\Archivos de programa\Dell\PPO\ati.dll'. Que a su vez intenta cargar 'atiadlxx.dll', que no está presente de forma predeterminada en el directorio de la aplicación. El programa buscará la DLL en los directorios especificados por la variable de entorno PATH. Si encuentra una dll con el mismo nombre, se cargará la dll en poaService.exe sin comprobar la firma de la dll. Esto puede llevar a la ejecución de código arbitrario si un atacante suministra una DLL malintencionada con el nombre correcto. 

Afecta a Dell Precision Tower 5810 con tarjeta gráfica nvidia, PPO Policy Processing Engine (3.5.5.0), ati.dll (PPR Monitoring Plugin) (3.5.5.0). Dell ha publicado una actualización para solucionar este problema. Todas las versiones desde la v4.0 no son vulnerables.

No es la primera vez que ocurre algo así, podemos recordar el caso Superfish en Lenovo y a la propia Dell con dos certificados raíz preinstalados.

Más Información:

Vulnerability Spotlight: Dell Precision Optimizer and Invincea Vulnerabilities

http://blog.talosintelligence.com/2017/06/vulnerability-spotlight-dell-precision.html

una-al-dia (20/02/2015) Portátiles Lenovo con malware de regalo

http://unaaldia.hispasec.com/2015/02/portatiles-lenovo-con-malware-de-regalo.html

una-al-dia (24/11/2015) Portátiles Dell con certificado raíz preinstalado

http://unaaldia.hispasec.com/2015/11/portatiles-dell-con-certificado-raiz.html

una-al-dia (27/11/2015) Dell: No te gustan los certificados raíz... ¡pues toma dos!

http://unaaldia.hispasec.com/2015/11/dell-no-te-gustan-los-certificados-raiz.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Dell: No te gustan los certificados raíz… ¡pues toma dos!

Esta misma semana descubríamos la inclusión de un certificado raíz con su clave privada en algunos portátiles Dell. Cuando parecía que volvía la calma para la firma, se vuelve a encontrar otro certificado con las mismas características que el anterior. No querías caldo, pues toma dos tazas.

Tal como suena, parece que Dell ha sembrado sus ordenadores con certificados raíz no se sabe con qué extraño propósito.

El primer certificado, estaba identificado como eDellRoot se incluía en todos los equipos Inspiron 5000, XPS 15 y XPS 13 y según la firma formaba parte del sistema de soporte a los usuarios. La compañía ya confirmó que dejaría de incluir este certificado en sus nuevos portátiles, también ha proporcionado una herramienta para eliminarlo de forma automática, así como un sitio.

Pero la cosa no queda ahí, si ya resultaba difícil admitir la existencia de este certificado, ahora la publicación Laptop Mag ha anunciado un segundo certificado identificado como "DSDTestProvider". Este segundo certificado se instala y se usa por Dell System Detect (DSD), una aplicación descargada desde el sitio web de Dell, que proporciona características de detección de producto ("Detect Product"), para ayudar a los usuarios a identificar el modelo de su ordenador y otros detalles técnicos.

Los certificados eDellRoot y DSDTestProvider juntitos en el almacen

Se puede considerar que la exposición a este segundo certificado es más limitada, ya que los usuarios debían descargarlo desde la web, y solo estuvo disponible desde el 20 de octubre al 24 de noviembre en que al saltar las alarmas dejó de incluirse.

Al igual que eDellRoot, DSDTestProvider también se instala en el almacén de certificados raíz, junto con su clave privada. Como ya aclaramos en la anterior una-al-día el principal problema reside en la capacidad que se le ofrece a un atacante para realizar ataques de hombre-en-el-medio o falsificar prácticamente cualquier dominio (que no use certificado pinning) y cualquier dato firmado con esa clave privada.

Precisamente, Symantec ha confirmado que han encontrado muestras de malware en VirusTotal firmadas digitalmente con el certificado eDellRoot. Esto podría pemitir a un atacante hacer pasar el malware como software legítimo en los sistemas Dell afectados.

Malware firmado con eDellRoot (Fuente: Symantec)

Al igual que con eDellRoot para eliminar este certificado es necesario borrar primero la dll Dell.Foundation.Agent.Plugins.eDell.dll y posteriormente eliminar el propio certificado DSDTestProvider.

Microsoft también sale al rescate de Dell, y de todos sus clientes, ya que ha actualizado sus herramientas de seguridad para eliminar ambos certificados del almacén. Según ha confirmado las herramientas actualizadas incluyen Windows Defender para Windows 10 y Windows 8.1, Microsoft Security Essentials para Windows 7 y Windows Vista, Microsoft Safety Scanner y Microsoft Windows Malicious Software Removal Tool.

Más información:

una-al-dia (24/11/2015) Portátiles Dell con certificado raíz preinstalado

http://unaaldia.hispasec.com/2015/11/portatiles-dell-con-certificado-raiz.html

Herramienta para eliminar eDellRoot

https://dellupdater.dell.com/Downloads/APP009/eDellRootCertFix.exe

Sloppy Security Software Exposes Dell Laptops to Hackers

http://www.laptopmag.com/articles/dell-certificate-security-flaw

Dell computers affected by eDellRoot self-signed root certificate

http://www.symantec.com/connect/blogs/dell-computers-affected-edellroot-self-signed-root-certificate

Program:Win32/CompromisedCert.D

https://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?name=Program%3aWin32%2fCompromisedCert.D&threatid=224188&enterprise=0#tab=1

Program:Win32/CompromisedCert.C

https://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?Name=Program:Win32/CompromisedCert.C#tab=2

Response to Concerns Regarding eDellroot Certificate

http://en.community.dell.com/dell-blogs/direct2dell/b/direct2dell/archive/2015/11/23/response-to-concerns-regarding-edellroot-certificate

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Portátiles Dell con certificado raíz preinstalado

A principios de año descubrimos como los portátiles Lenovo venían con un regalo en forma de malware y un certificado raíz preinstalado. Ahora de forma muy similar, se descubre que una serie de portátiles Dell también incluyen un certificado raíz preinstalado, con las graves implicaciones que puede tener.

El anuncio ha venido de la mano del investigador Joe Nord al descubrir que su recientemente adquirido Dell Inspiron Serie 5000 incluía preinstalado el certificado raíz etiquetado como "eDellRoot", con su clave privada y todo. La inclusión de un certificado de este tipo deja a todos los ordenadores expuestos a ataques "hombre en el medio", con posibilidad de realizar ataques de fraude bancario, compras, robo de identidad, etc. Se ha confirmado que el certificado se incluía en todos los equipos Inspiron 5000, XPS 15 y XPS 13.

Certificado raíz eDellRoot

Finalmente Dell ha reconocido el problema, no le quedaba otra. Según ha confirmado el certificado se instalaba por la aplicación Dell Foundation Services, como parte de una herramienta de soporte para intentar hacer que el servicio a los sistemas de los clientes fuera lo más fácil y rápido.

Como siempre, para Dell la seguridad y privacidad de sus clientes es una de las principales preocupaciones y prioridades de la compañía. Pero en su aviso nos aclaran que este certificado es malware ni adware, y que se instalaba para ayudar a los usuarios. Como si con eso no hubiera ningún otro problema.

Dell Inspirion Serie 5000

El problema es más grave de lo que en un principio puede parecer, de ahí que hayan saltado todas las alarmas. El mayor problema es la capacidad que se le ofrece a un atacante para falsificar prácticamente cualquier dominio (que no use certificado pinning) y cualquier dato firmado con esa clave privada. Las víctimas potenciales, son, como no, los usuarios de DELL afectados. Ellos son los que contienen el certificado que validará cualquier certificado false extendido con la clave privada.

Resulta sorprendente como después de todo el escándalo que supuso el caso Superfish para Lenovo, una firma como Dell haya caído en el mismo error. De hecho, el certificado de Dell fue creado meses después de todo lo ocurrido con Lenovo. ¿Es qué nadie en Dell prestó atención a lo ocurrido?

Sorprendentemente, el certificado no puede eliminarse simplemente, cuando se intenta eliminar aparece de nuevo. Una dll incluida con el certificado raíz reinstala el archivo en caso de borrarse. Primero es necesario eliminar la dll Dell.Foundation.Agent.Plugins.eDell.dll y posteriormente eliminar el propio certificado eDellRoot.

Dell ha publicado un documento en el que explica el proceso detalladamente y ha confirmado que a partir de ahora los equipos ya no incluirán este certificado. También ha anunciado que iniciará un proceso de actualización de los equipos que eliminará el certificado de forma automática.

Más información:

una-al-dia (20/02/2015) Portátiles Lenovo con malware de regalo

http://unaaldia.hispasec.com/2015/02/portatiles-lenovo-con-malware-de-regalo.html

New Dell computer comes with a eDellRoot trusted root certificate

http://joenord.blogspot.com.es/2015/11/new-dell-computer-comes-with-edellroot.html

Response to Concerns Regarding eDellroot Certificate

http://en.community.dell.com/dell-blogs/direct2dell/b/direct2dell/archive/2015/11/23/response-to-concerns-regarding-edellroot-certificate

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad descubierta en SonicWall TotalSecure TZ 100

Se ha reportado una vulnerabilidad en SonicWall TotalSecure TZ 100 que podría permitir a un atacante remoto provocar una denegación de servicio a través de paquetes especialmente manipulados.

SonicWall TotalSecure TZ 100(Dell) es una familia de firewalls inteligentes ampliamente utilizados en pequeñas y medianas empresas. Incorpora numerosas características como control de acceso, prevención de intrusiones, control de amenazas, eliminación de cuellos de botella, etc. 

La vulnerabilidad descubierta por FFRI,Inc (Japón), tiene asignada el identificador CVE-2015-7770. El problema, reside en un error de validación al procesar determinados paquetes, que podría ser aprovechado por un atacante remoto no autenticado para provocar una denegación de servicio a través de paquetes especialmente manipulados.

Los dispositivos con versión de firmware anterior a V5.9.1.0-22o son vulnerables. Se recomienda actualizar a la última versión disponible.

Más información:

JVNDB-2015-000176 SonicWall TotalSecure TZ 100 Series vulnerable to denial-of-service (DoS)

http://jvndb.jvn.jp/en/contents/2015/JVNDB-2015-000176.html

SonicWALL TZ Series

https://support.software.dell.com/sonicwall-tz-series/100

Juan Sánchez

jasanchez@hispasec.com

Descubierta puerta trasera en impresoras Samsung y DELL

Este lunes se hacía público un escueto boletín de seguridad del US-CERT (VU#281284) advirtiendo de la existencia, no documentada anteriormente, de una cuenta administrativa en el firmware de las impresoras Samsung (se sobrentiende de aquellas con conectividad LAN) y algunos modelos de DELL, relacionada con el protocolo SNMP.

Posteriormente, el investigador que reportó la vulnerabilidad (con CVE-2012-4964) ha proporcionado más datos al respecto. Según Neil Smith (@neilwillgettoit) y su particular investigación llevada a cabo sobre su propia impresora y posteriormente sobre los firmwares de otros modelos de Samsung, existiría una cuenta de administración ligada al protocolo SNMP (una community string de lectura y escritura), que proporcionaría de controlo total sobre el dispositivo.

La gama Samsung ML 2xxx se ve afectada por este problema
(Foto del modelo ML 2160)

SNMP es un protocolo de red dedicado a la administración de dispositivos que permite identificarlos y gestionarlos remotamente, alterar características internas e incluso actualizarlos vía firmware remoto.

Las "community strings" son credenciales de acceso, passwords en texto claro utilizados en las versiones del protocolo SNMP v1 y v2 que permiten administrar el nivel de acceso de usuario: una community como "public", por convenio sólo permitiría ver o gestionar determinada información no vital del dispositivo, dando sólo información. Por ello es conveniente cambiar los credenciales de los dispositivos o utilizar una versión de SNMP superior como la v3 que es mucho más segura.

En esta vulnerabilidad, el investigador ha descubierto que existe una "community string" de nivel administrativo, no documentada que permitiría el acceso y control de la impresora. El firmware de su impresora contenía la siguiente línea:

private static final String SECRET_PUBLIC = "s!a@m#n$p%c";

Esta community sirve tanto para lectura como para escritura, así que cualquier atacante tendría control total. Podría obtener información vital de la empresa, como los documentos internos impresos, realizar un reconocimiento de los dispositivos conectados a la red, montar un servidor SMB, enviar SPAM a través de SMTP... e incluso actualizar la impresora con un firmware especialmente manipulado a través de SNMP (con el MIB adecuado) y obtener algún tipo de shell.

Aunque no se ha comunicado un listado completo de las impresoras afectadas tanto de Samsung como DELL, desde nuestro laboratorio hemos podido comprobar algunos modelos afectados:

Series Samsung SCX-4xxx, 5xxx, 8xxx

Series Samsung ML-2xxx y ML-3xxx

Series Samsung CLX-3xxx

DELL 2335DN

Según el fabricante, con desactivar SNMP o utilizar la versión v3 es suficiente para impedir el acceso, aunque según la investigación el protocolo SNMP seguiría activado aun cuando se deshabilitara desde la utilidad de configuración. Se proporcionarán actualizaciones mediante firmwares para los diferentes modelos próximamente.

Desde nuestro laboratorio aconsejamos proteger el acceso remoto a cualquier impresora en red y activar los controles y filtros necesarios para el protocolo SNMP en entornos de producción. También actualizar todos los firmwares a los posteriores al 31 de octubre, si es posible.

Más información:

Details of the Samsung Printer SNMP Backdoor

http://l8security.com/post/36715280176/uv-281284-samsung-printer-snmp-backdoor

Vulnerability Note VU#281284

http://www.kb.cert.org/vuls/id/281284

José Mesa Orihuela

jmesa@hispasec.com