Els usuaris de GeoSynchrony de Dell EMC VPlex han sol·licitat una actualització a la v6.1 per evitar la vulnerabilitat dels permisos de fitxers insegurs

S'ha descobert una vulnerabilitat de permisos de fitxers insegurs a la geosincronia Dell EMC VPlex. S'ha comprovat que afecta les versions anteriors a la versió 6.1, en particular les versions 5.4, 5.5 i 6.0. Aquesta vulnerabilitat permet als atacants autenticats malintencionats llegir remotament els fitxers de configuració de VPN. L’explotació també representa l’amenaça que l’atacant pugui executar un atac home-al-mig contra el trànsit VPN, retransmetent en secret i alterant potencialment la comunicació entre dos punts finals que es comuniquen amb la suposició de plena integritat.

L’EMC VPlex de Dell és una solució d’emmagatzematge de dades per ordinador virtual. Va ser publicat per primera vegada el 2010 per la corporació EMC. És aplaudida per la seva capacitat per establir-se en una capa de virtualització distribuïda sense interrupcions a través de (entre i per) xarxes d’àrea d’emmagatzematge de canal de fibra i centres de dades geogràficament incomparables.

A aquesta vulnerabilitat se li ha assignat l’etiqueta d’identificació Dell EMC DSA-2018-156 i l’etiqueta d’identificació CVE CVE-2018-11078. Es considera que presenta un risc de gravetat mitjà i s’ha avaluat que té una puntuació base CVSS 3.0 de 4,0. Segons l’anàlisi preliminar, aquesta vulnerabilitat només afecta el testimoni. Afecta les versions 5.4 (totes les versions), 5.5 (totes les versions) i 6.0 (totes les versions) de Dell EMC VPlex GeooSynchrony.

Com que aquesta vulnerabilitat exposa el vostre sistema a explotacions de permisos de fitxers insegures en versions anteriors a la versió 6.1, la solució de mitigació suggerida per Dell en aquest moment és una mera actualització a la versió 6.2 de Dell VPlex Geosynchrony. Com que aquesta vulnerabilitat no afecta la versió més recent, no garanteix una versió d'actualització completament nova, ja que la versió més recent actualment mitiga aquesta preocupació per si mateixa.

Una nota especial de Dell per a aquells que necessiten una actualització per mitigar aquesta vulnerabilitat: se us demana que poseu-vos en contacte amb el vostre representant local per ajudar-vos a planificar l'actualització de VPlex que requereix una autorització de control de canvis (CCA).