DELL EMC สหราชอาณาจักร
ช่องโหว่การแทรก XML External Entity (XEE) ถูกค้นพบใน EMC Data Protection Advisor ของ Dell เวอร์ชัน 6.4 ถึง 6.5 ช่องโหว่นี้พบใน REST API และอาจทำให้ผู้โจมตีที่เป็นอันตรายจากระยะไกลที่ได้รับการพิสูจน์ตัวตนสามารถโจมตีระบบที่ได้รับผลกระทบโดยการอ่านไฟล์เซิร์ฟเวอร์หรือทำให้เกิดการปฏิเสธการให้บริการ (DoS ขัดข้องผ่านการกำหนดประเภทเอกสาร (DTD) ที่ออกแบบมาเพื่อประสงค์ร้ายผ่านทางคำขอ XML
Dell EMC Data Protection Advisor ได้รับการออกแบบมาเพื่อให้เป็นแพลตฟอร์มเดียวสำหรับการสำรองข้อมูลการกู้คืนและการจัดการ ได้รับการออกแบบมาเพื่อให้การวิเคราะห์และข้อมูลเชิงลึกแบบครบวงจรสำหรับสภาพแวดล้อมไอทีในองค์กรขนาดใหญ่ ดำเนินการโดยอัตโนมัติในขั้นตอนเดียวด้วยตนเองและให้ประสิทธิภาพที่เพิ่มขึ้นและผลประโยชน์ด้านต้นทุนที่ลดลง แอปพลิเคชั่นรองรับเทคโนโลยีและซอฟต์แวร์ที่หลากหลายโดยเป็นส่วนหนึ่งของฐานข้อมูลสำรองและทำหน้าที่เป็นเครื่องมือที่ดีเยี่ยมเพื่อให้แน่ใจว่ามีการตรวจสอบเพื่อป้องกัน
ช่องโหว่นี้ได้รับการกำหนดป้ายกำกับ CVE-2018-11048 ได้รับการตัดสินว่ามีความเสี่ยงที่มีความรุนแรงสูงและได้กำหนดคะแนนฐาน CVSS 3.0 เป็น 8.1 ช่องโหว่ดังกล่าวส่งผลต่อ DELL EMC Data Protection Advisor เวอร์ชัน 6.2, 6.3, 6.4 (ก่อนแพตช์ B180) และ 6.5 (ก่อนแพตช์ B58) นอกจากนี้ยังพบช่องโหว่ที่ส่งผลกระทบต่อ Integrated Data Protection Appliance เวอร์ชัน 2.0 และ 2.1
Dell มีความรู้เกี่ยวกับช่องโหว่นี้โดยได้ออกการอัปเดตสำหรับผลิตภัณฑ์เพื่อลดผลกระทบจากการใช้ประโยชน์ แพตช์ B180 หรือใหม่กว่าประกอบด้วยการอัปเดตที่จำเป็นสำหรับเวอร์ชัน 6.4 ของ Dell EMC Data Protection Advisor และแพตช์ B58 หรือใหม่กว่ามีการอัปเดตที่จำเป็นตามเวอร์ชัน 6.5 ของโปรแกรม
ลูกค้า Dell EMC Online Support ที่ลงทะเบียนแล้วสามารถทำได้อย่างง่ายดาย ดาวน์โหลด โปรแกรมแก้ไขที่จำเป็นจากหน้าเว็บ EMC Support เนื่องจากช่องโหว่นี้มีความเสี่ยงสูงในการใช้ประโยชน์จากช่องโหว่ XEE injection และ DoS ที่อาจเกิดขึ้นผู้ใช้ (โดยเฉพาะผู้ดูแลระบบขององค์กรขนาดใหญ่ที่ใช้แพลตฟอร์ม) จึงได้รับการร้องขอให้ใช้โปรแกรมแก้ไขทันทีเพื่อหลีกเลี่ยงการบุกรุกของระบบ
