DELL EMC Vương quốc Anh
Đã phát hiện ra lỗ hổng chèn vào thực thể bên ngoài XML (XEE) trong phiên bản 6.4 đến 6.5 của Cố vấn bảo vệ dữ liệu EMC của Dell. Lỗ hổng này được tìm thấy trong API REST và nó có thể cho phép kẻ tấn công độc hại từ xa được xác thực xâm nhập các hệ thống bị ảnh hưởng bằng cách đọc các tệp máy chủ hoặc gây ra sự cố Từ chối dịch vụ (DoS crash thông qua Định nghĩa loại tài liệu (DTD) được chế tạo độc hại thông qua yêu cầu XML).
Dell EMC Data Protection Advisor được thiết kế để cung cấp một nền tảng duy nhất để sao lưu, phục hồi và quản lý dữ liệu. Nó được thiết kế để cung cấp các phân tích và thông tin chi tiết thống nhất về môi trường CNTT tại các tập đoàn lớn. Nó tự động hóa quy trình thủ công một lần và mang lại hiệu quả nâng cao và lợi ích chi phí thấp hơn. Ứng dụng hỗ trợ một loạt các công nghệ và phần mềm như một phần của cơ sở dữ liệu sao lưu của nó và nó hoạt động như một công cụ lý tưởng để đảm bảo rằng các cuộc kiểm toán được tuân thủ để bảo vệ.
Lỗ hổng này đã được gán nhãn CVE-2018-11048 , được đánh giá là có mức độ rủi ro nghiêm trọng cao, và theo đó được chỉ định Điểm cơ bản CVSS 3.0 là 8.1. Lỗ hổng bảo vệ ảnh hưởng đến các phiên bản 6.2, 6.3, 6.4 (trước bản vá B180) và 6.5 (trước bản vá B58) của Cố vấn bảo vệ dữ liệu DELL EMC. Lỗ hổng bảo mật cũng ảnh hưởng đến phiên bản 2.0 và 2.1 của Công cụ bảo vệ dữ liệu tích hợp.
Dell hiểu rõ về lỗ hổng này nên đã phát hành các bản cập nhật cho sản phẩm của mình để giảm thiểu hậu quả khai thác. Các bản vá B180 trở lên chứa các bản cập nhật cần thiết cho phiên bản 6.4 của Dell EMC Data Protection Advisor và các bản vá B58 trở lên chứa các bản cập nhật cần thiết tương ứng cho phiên bản 6.5 của chương trình.
Khách hàng đã đăng ký Hỗ trợ Trực tuyến của Dell EMC có thể dễ dàng Tải xuống bản vá bắt buộc từ trang web Hỗ trợ EMC. Vì lỗ hổng này có nguy cơ bị khai thác cao với lỗ hổng XEE và khả năng xảy ra sự cố DoS, người dùng (đặc biệt là quản trị viên của các doanh nghiệp lớn sử dụng nền tảng này) được yêu cầu áp dụng bản vá ngay lập tức để tránh bị xâm phạm hệ thống.
