BDU:2025-04532: Уязвимость операционной системы PowerScale OneFS, связанная с использованием пароля по умолчанию, позволяющая нарушителю получить доступ к учетной записи пользователя

Уязвимость операционной системы PowerScale OneFS связана с использованием пароля по умолчанию. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учетной записи пользователя

Использование рекомендаций: https://www.dell.com/support/kbdoc/en-us/000300860/dsa-2025-119-security-update-for-dell-powerscale-onefs-for-multiple-security-vulnerabilities В случае невозможности установки обновлений рекомендуется использовать один из вариантов компенсирующих мер: 1. Добавьте затронутых пользователей в список «Пользователи, которых нельзя изменить». Для кластеров, которые не перешли на типы хэшей SHA256 или SHA512: isi auth file modify System --add-unmodifiable-users=compadmin,remotesupport,ese,insightiq,www,nobody,git_daemon,isdmgmt --remove-modifiable-users=compadmin,remotesupport,ese,insightiq,www,nobody,git_daemon,isdmgmt --restrict-modifiable=true Для кластеров, которые перешли на типы хэшей SHA256 или SHA512 добавьте указанных выше пользователей, а также других пользователей поставщика файлов с системными привилегиями: isi auth file modify System --add-unmodifiable-users=root,admin --remove-modifiable-users=root,admin --restrict-modifiable=true После применения патча, если вы используете пользователей, вы можете снова сделать их изменяемыми. 2. Для кластеров, не перешедших на типы хэшей SHA256 или SHA512 установите/сбросьте пароль для пользователей, которые не заблокированы для изменения в поставщике файлов зоны System, а также их отключения: compadmin, remotesupport, ese, insightiq, www, никто, git_daemon, isdmgmt 3. Отключите WebUI и API через CLI: isi http services modify Platform-API-External --enabled=false Это не устраняет проблему полностью, поскольку ею все равно могут воспользоваться пользователи с привилегиями ISI_PRIV_LOGIN_CONSOLE или ISI_PRIV_LOGIN_SSH. 4. Ограничьте доступ к API и WebUI доверенными сетями с помощью правила брандмауэра. - включите брандмауэр: - в «default_pools_policy» измените «rule_isi_webui», чтобы ограничить «исходную сеть» доверенным набором сетей/IP-адресов. Это не устраняет проблему полностью, поскольку ею по-прежнему могут злоупотреблять пользователи с привилегиями ISI_PRIV_LOGIN_CONSOLE или ISI_PRIV_LOGIN_SSH, а также пользователи с IP-адресами, разрешенными через брандмауэр.

• https://www.dell.com/support/kbdoc/en-us/000300860/dsa-2025-119-security-update-…