Idrac9 Firmware
Уязвимости
21
Эксплуатируемые
0
Макс. CVSS
10
Макс. EPSS
0.04173
Распределение по критичности
Критический
5
Высокий
5
Средний
10
Низкий
1
Затронутые диапазоны версий
4.40.00.00–4.40.10.006.10.80.00–7.00.00.181< 3.20.21.20< 3.21.21.21< 3.30.30.30< 3.36.36.36< 4.00.00.00< 4.20.20.20< 4.40.00.00< 6.00.30.00< 7.20.10.50≤ 4.32.10.00
Также сопоставлено как (исходные строки): idrac8_firmware,idrac6_firmware,idrac9_firmware,idrac7_firmware
Топ уязвимостей
CVE-2021-21538Dell EMC iDRAC9 версии 4.40.00.00 и более поздние, но до 4.40.10.00, содержат уязвимость неправильной аутентификации. Удаленный неаутентифицированный злоумышленник может потенциально использовать эту уязвимость для получения доступа к виртуальной консоли.
CVE-2020-5344Dell EMC iDRAC7, iDRAC8 и iDRAC9 версий до 2.65.65.65, 2.70.70.70, 4.00.00.00 содержат уязвимость переполнения буфера на основе стека. Неаутентифицированный удаленный злоумышленник может использовать эту уязвимость для аварийного завершения затронутого процесса или выполнения произвольного кода в системе, отправив специально созданные входные данные.
CVE-2019-3707Dell EMC iDRAC9 версий до 3.30.30.30 содержат уязвимость обхода аутентификации. Удаленный злоумышленник может потенциально использовать эту уязвимость для обхода аутентификации и получения доступа к системе, отправляя специально созданные входные данные в интерфейс WS-MAN.
CVE-2019-3706Dell EMC iDRAC9 версий до 3.24.24.24, 3.21.26.22, 3.22.22.22 и 3.21.25.22 содержат уязвимость обхода аутентификации. Удаленный злоумышленник может потенциально использовать эту уязвимость для обхода аутентификации и получения доступа к системе, отправляя специально созданные данные в веб-интерфейс iDRAC.
CVE-2019-3705Dell EMC iDRAC6 версий до 2.92, iDRAC7/iDRAC8 версий до 2.61.60.60 и iDRAC9 версий до 3.20.21.20, 3.21.24.22, 3.21.26.22 и 3.23.23.23 содержат уязвимость переполнения буфера на основе стека. Неаутентифицированный удаленный злоумышленник может потенциально использовать эту уязвимость для сбоя веб-сервера или выполнения произвольного кода в системе с привилегиями веб-сервера, отправляя специально созданные входные данные в уязвимую систему.
CVE-2018-15774Dell EMC iDRAC7/iDRAC8 версии до 2.61.60.60 и iDRAC9 версии до 3.20.21.20, 3.21.24.22, 3.21.26.22 и 3.23.23.23 содержат уязвимость повышения привилегий. Аутентифицированный злонамеренный пользователь iDRAC с привилегиями оператора может использовать недостаток проверки разрешений в интерфейсе Redfish для получения прав администратора.
CVE-2018-1244Dell EMC iDRAC7/iDRAC8, версии до 2.60.60.60 и iDRAC9 версии до 3.21.21.21 содержат уязвимость внедрения команд в агенте SNMP. Удаленный аутентифицированный злонамеренный пользователь iDRAC с привилегиями конфигурации может потенциально использовать эту уязвимость для выполнения произвольных команд в iDRAC, где включены оповещения SNMP.
CVE-2021-21540Dell EMC iDRAC9 версии до 4.40.00.00 содержат уязвимость переполнения стека. Удаленный аутентифицированный злоумышленник может потенциально использовать эту уязвимость для перезаписи информации о конфигурации, внедрив произвольно большую полезную нагрузку.
CVE-2018-1243Dell EMC iDRAC6, версии до 2.91, iDRAC7/iDRAC8, версии до 2.60.60.60 и iDRAC9, версии до 3.21.21.21, содержат уязвимость слабого CGI-идентификатора сессии. Сессии, вызываемые через CGI-бинарные файлы, используют 96-битные числовые значения идентификатора сессии, что облегчает удаленным злоумышленникам выполнение атак методом перебора сессии.
CVE-2021-21539Dell EMC iDRAC9 версии до 4.40.00.00 содержат уязвимость состояния гонки Time-of-check Time-of-use (TOCTOU). Удаленный аутентифицированный злоумышленник может потенциально использовать эту уязвимость для получения повышенных привилегий, когда пользователь с более высокими привилегиями одновременно получает доступ к iDRAC через веб-интерфейс.
CVE-2020-5366Dell EMC iDRAC9 версий до 4.20.20.20 содержит уязвимость Path Traversal. Удаленный аутентифицированный злоумышленник с низкими привилегиями может потенциально использовать эту уязвимость, манипулируя входными параметрами, чтобы получить несанкционированный доступ на чтение к произвольным файлам.
CVE-2021-21541Dell EMC iDRAC9 версии до 4.40.00.00 содержат уязвимость межсайтового скриптинга на основе DOM. Удаленный неаутентифицированный злоумышленник может потенциально использовать эту уязвимость, обманом заставив пользователя уязвимого приложения предоставить вредоносный код HTML или JavaScript в среду DOM в браузере. Затем вредоносный код выполняется веб-браузером в контексте уязвимого веб-приложения.
CVE-2020-26198Dell EMC iDRAC9 версий до 4.32.10.00 и 4.40.00.00 содержат отраженную межсайтовую уязвимость сценариев в веб-приложении iDRAC9. Удаленный злоумышленник может потенциально использовать эту уязвимость для запуска вредоносного HTML или JavaScript в браузере жертвы, обманом заставив жертву перейти по специально созданной ссылке.
CVE-2018-1249Dell EMC iDRAC9 версии до 3.21.21.21 не обеспечивали использование TLS/SSL для соединения с веб-сервером iDRAC для определенных URL-адресов. Атакующий типа "человек посередине" может использовать эту уязвимость для удаления защиты SSL/TLS из соединения между клиентом и сервером.
CVE-2025-26482В BIOS сервера Dell PowerEdge и Dell iDRAC9, во всех версиях, обнаружена уязвимость, связанная с раскрытием информации. Злоумышленник с высоким уровнем привилегий и удаленным доступом может потенциально использовать эту уязвимость, что приведет к раскрытию информации.
Источники:
- [1] https://www.dell.com/support/kbdoc/en-us/000370138/dsa-2025-046-security-update-for-dell-poweredge-server-and-dell-idrac9-for-information-disclosure-vulnerability
CVE-2025-22397Dell Integrated Dell Remote Access Controller 9, 14G версии до 7.00.00.181, 15G и 16G версии 6.10.80.00 до 7.20.10.50 и Dell Integrated Dell Remote Access Controller 10, 17G версии до 1.20.25.00, содержат неправильную ограничение патами до ограниченного каталога (Derp. Высокопривилегированный злоумышленник с удаленным доступом может потенциально использовать эту уязвимость, что приведет к несанкционированному доступу.
CVE-2022-34435Dell iDRAC9 версии 6.00.02.00 и более ранние содержат уязвимость неправильной проверки входных данных в Racadm, когда установлена конфигурация блокировки встроенного ПО. Удаленный злоумышленник с высокими привилегиями может воспользоваться этой уязвимостью, чтобы обойти конфигурацию блокировки встроенного ПО и выполнить обновление встроенного ПО.
CVE-2021-21543Dell EMC iDRAC9 версии до 4.40.00.00 содержат несколько уязвимостей сохраненного межсайтового скриптинга. Удаленный аутентифицированный злоумышленник с высокими привилегиями может потенциально использовать эти уязвимости для хранения вредоносного кода HTML или JavaScript через несколько затронутых параметров. Когда пользователи-жертвы получают доступ к отправленным данным через свои браузеры, вредоносный код выполняется веб-браузером в контексте уязвимого приложения.
CVE-2021-21542Dell EMC iDRAC9 версии до 4.40.10.00 содержат несколько уязвимостей сохраненного межсайтового скриптинга. Удаленный аутентифицированный злоумышленник с высокими привилегиями может потенциально использовать эти уязвимости для хранения вредоносного кода HTML или JavaScript через несколько затронутых мест при создании сертификата. Когда пользователи-жертвы получают доступ к отправленным данным через свои браузеры, вредоносный код выполняется веб-браузером в контексте уязвимого приложения.
CVE-2019-3764Dell EMC iDRAC7 версий ниже 2.65.65.65, iDRAC8 версий ниже 2.70.70.70 и iDRAC9 версий ниже 3.36.36.36 содержат уязвимость неправильной авторизации. Удаленный прошедший проверку подлинности злоумышленник iDRAC с низкими привилегиями может воспользоваться этой уязвимостью для получения конфиденциальной информации, такой как хеши паролей.
CVE-2021-21544Dell EMC iDRAC9 версии до 4.40.00.00 содержат уязвимость неправильной аутентификации. Удаленный аутентифицированный злоумышленник с высокими привилегиями может потенциально использовать эту уязвимость для манипулирования полем имени пользователя в разделе комментариев и установить значение для любого пользователя.