Uma vulnerabilidade de permissões de arquivo inseguras foi descoberta no Dell EMC VPlex Geosynchrony. Ele afeta as versões anteriores à versão 6.1, particularmente as versões 5.4, 5.5 e 6.0. Esta vulnerabilidade permite que invasores autenticados mal-intencionados leiam remotamente arquivos de configuração VPN. A exploração também representa a ameaça de o invasor ser capaz de executar um ataque man-in-the-middle no tráfego VPN, retransmitindo secretamente e potencialmente alterando a comunicação entre dois pontos de extremidade que estão se comunicando com a suposição de integridade total.
O EMC VPlex da Dell é uma solução de armazenamento de dados de computador virtual. Foi apresentado pela primeira vez em 2010 pela EMC Corporation. É aplaudido por sua capacidade de se estabelecer em uma camada de virtualização distribuída contínua por meio (entre e entre) redes de área de armazenamento Fibre Channel geograficamente incomparáveis e data centers.
Esta vulnerabilidade foi atribuída à etiqueta de identificação Dell EMC DSA-2018-156 e à etiqueta de identificação CVE CVE-2018-11078. É considerado um risco de gravidade médio e foi avaliado como tendo uma pontuação básica de CVSS 3.0 de 4.0. De acordo com a análise preliminar, essa vulnerabilidade afeta apenas a Testemunha. Afeta o Dell EMC VPlex GeooSynchrony 5.4 (todas as versões), 5.5 (todas as versões) e 6.0 (todas as versões).
Como essa vulnerabilidade expõe seu sistema a explorações de permissão de arquivo inseguras em versões anteriores à versão 6.1, a solução de mitigação sugerida pela Dell neste momento é uma mera atualização para a versão 6.2 do Dell VPlex Geosynchrony. Como essa vulnerabilidade não afeta a versão mais recente, ela não garante uma versão de atualização totalmente nova, pois a versão mais recente atualmente atenua essa preocupação por conta própria.
Uma observação especial da Dell para aqueles que precisam de uma atualização para mitigar esta vulnerabilidade: você deve entrar em contato com o seu representante de campo local para ajudar no planejamento da atualização do VPlex, que requer uma autorização de controle de alterações (CCA).
Tag Dell
