Dell EMC Storage Monitoring and Reporting反序列化代码执行缝隙安全公告

颁布功夫 2019-12-02

缝隙编号和级别


CVE编号：CVE-2019-18580，，，，，，，，危险级别：严沉，，，，，，，，CVSS分值：厂商自评：9.8，，，，，，，，官方未评定


影响版本


Dell EMC Storage Monitoring and Reporting 4.3.1版本


缝隙概述


Dell EMC Storage Monitoring and Reporting是美国戴尔（Dell）公司的一套存储机能监控软件。。。。。。。该软件提供存储机能监控和汇报天生等职能。。。。。。。


Dell EMC Storage Monitoring and Reporting 4.3.1版本中存在代码问题缝隙。。。。。。。远程攻击者可通过发送特造的RMI要求利用该缝隙在指标主机上执行肆意代码。。。。。。。


Java RMI服务中存在特定缺点，，，，，，，，该服务默认情况下侦听TCP端口52569。。。。。。。 该问题是由于不足对用户提供的数据的正确验证而导致的，，，，，，，，这可能导致不信赖数据的反序列化。。。。。。。


缝隙验证


暂无POC/EXP。。。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，，，，补丁获取链接：https://www.dell.com/support/security/zh-cn/details/538977/DSA-2019-176-Dell-EMC-Storage-Monitoring-and-Reporting-SMR-Java-RMI-Deserialization-of-Untruste。。。。。。。


参考链接


https://www.zerodayinitiative.com/advisories/ZDI-19-996/