СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
13.02.2025
#ИБ#Инфра

BDU:2025-01836 (CVE-2025-23380) — уязвимость микропрограммного обеспечения BIOS серверов Dell PowerEdge

По данным БДУ ФСТЭК России, по состоянию на 20.02.2025.

Средний — 4.6/10 Устранена

Уязвимость микропрограммного обеспечения BIOS серверов Dell PowerEdge связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

  • Уязвимое ПО: PowerEdge R660 (Dell Technologies) — версии до 2.3.5; PowerEdge R760 (Dell Technologies) — версии до 2.3.5; PowerEdge C6620 (Dell Technologies) — версии до 2.3.5; и ещё 61 позиция
  • Что делать: уязвимость устранена производителем — применить исправления: www.dell.com

Сведения об уязвимости

Идентификаторы BDU:2025-01836 · CVE-2025-23380
Уровень опасности Средний (базовая оценка CVSS 3.1 — 4.6; CVSS 2.0 — 4.5)
Вектор CVSS 3.1 AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N
нужен локальный доступ, высокая сложность, нужны права администратора, требуется участие пользователя, высокое влияние на конфиденциальность, ограниченное влияние на целостность
Наименование ФСТЭК Уязвимость микропрограммного обеспечения BIOS серверов Dell PowerEdge, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты Опубликована: 20.02.2025 · Обновлена ФСТЭК: 20.02.2025 · Выявлена: 13.02.2025
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

  • PowerEdge R660 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R760 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge C6620 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge MX760c (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R860 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R960 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge HS5610 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge HS5620 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R660xs (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R760xs (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R760xd2 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge T560 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge R760xa (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XE9680 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XR5610 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XR8610t (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XR8620t (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XR7620 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XE8640 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge XE9640 (Dell Technologies) — до 2.3.5 · микропрограммный код
  • PowerEdge T160 (Dell Technologies) — до 1.4.3 · сетевое средство, ПО сетевого программно-аппаратного средства
  • PowerEdge R260 (Dell Technologies) — до 1.4.3 · сетевое средство, ПО сетевого программно-аппаратного средства
  • PowerEdge T360 (Dell Technologies) — до 1.4.3 · микропрограммный код
  • PowerEdge R360 (Dell Technologies) — до 1.4.3 · микропрограммный код
  • XC Core XC660 (Dell Technologies) — до 2.3.5 · ПО программно-аппаратного средства
  • XC Core XC760 (Dell Technologies) — до 2.3.5 · ПО программно-аппаратного средства
  • XC Core XC660xs (Dell Technologies) — до 2.3.5 · ПО программно-аппаратного средства
  • XC Core XC760xa (Dell Technologies) — до 2.3.5 · ПО программно-аппаратного средства
  • PowerEdge R6615 (Dell Technologies) — до 1.9.5 · микропрограммный код
  • PowerEdge R7615 (Dell Technologies) — до 1.9.5 · микропрограммный код
  • PowerEdge R6625 (Dell Technologies) — до 1.9.5 · микропрограммный код
  • PowerEdge R7625 (Dell Technologies) — до 1.9.5 · микропрограммный код
  • PowerEdge C6615 (Dell Technologies) — до 1.4.3 · микропрограммный код
  • XC Core XC7625 (Dell Technologies) — до 1.10.6 · ПО программно-аппаратного средства
  • PowerEdge R650 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R750 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R750XA (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge C6520 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge MX750C (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R550 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R450 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R650XS (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge R750XS (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge T550 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge XR11 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge XR12 (Dell Technologies) — до 1.15.2 · микропрограммный код
  • PowerEdge XR4510c (Dell Technologies) — до 1.16.2 · микропрограммный код
  • PowerEdge XR4520c (Dell Technologies) — до 1.16.2 · микропрограммный код
  • PowerEdge T150 (Dell Technologies) — до 1.10.2 · микропрограммный код
  • PowerEdge T350 (Dell Technologies) — до 1.10.2 · микропрограммный код
  • … и ещё 14 позиций

Возможные меры по устранению уязвимости

Обновление.

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных