Risque(s)

• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service

Systèmes affectés

• NetApp HCI Baseboard Management Controller (BMC) - H300S/H500S/H700S/H410S
• NetApp HCI Baseboard Management Controller (BMC) - H410C

Ces produits ne

sont plus maintenus par l'éditeur.

Résumé

De multiples vulnérabilités ont été découvertes dans les produits NetApp HCI. Elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données, une atteinte à l'intégrité des données et un déni de service.

Contournement provisoire

Le CERT-FR recommande de cloisonner l'accès au composant BMC.

Solution

Important : l'éditeur ne prévoit pas de publier de correctifs de sécurité (cf. section Documentation). Le CERT-FR recommande de remplacer les produits obsolètes Netapp HCI par des solutions maintenues à jour.

 

Documentation

• Bulletin de sécurité NetApp NTAP-20230309-0004 du 17 mai 2023
  https://security.netapp.com/advisory/ntap-20230309-0004/
• Bulletin de sécurité NetApp NTAP-20230316-0010 du 17 mai 2023
  https://security.netapp.com/advisory/ntap-20230316-0010/
• Bulletin de sécurité NetApp NTAP-20230331-0004 du 17 mai 2023
  https://security.netapp.com/advisory/ntap-20230331-0004/
• Bulletin de sécurité NetApp NTAP-20230413-0010 du 17 mai 2023
  https://security.netapp.com/advisory/ntap-20230413-0010/
• Bulletin de sécurité NetApp NTAP-20230511-0003 du 17 mai 2023
  https://security.netapp.com/advisory/ntap-20230511-0003/
• Référence CVE CVE-2022-4139
  https://www.cve.org/CVERecord?id=CVE-2022-4139
• Référence CVE CVE-2023-0030
  https://www.cve.org/CVERecord?id=CVE-2023-0030
• Référence CVE CVE-2023-0179
  https://www.cve.org/CVERecord?id=CVE-2023-0179
• Référence CVE CVE-2023-22995
  https://www.cve.org/CVERecord?id=CVE-2023-22995
• Référence CVE CVE-2023-23000
  https://www.cve.org/CVERecord?id=CVE-2023-23000
• Référence CVE CVE-2023-26544
  https://www.cve.org/CVERecord?id=CVE-2023-26544
• Référence CVE CVE-2023-26605
  https://www.cve.org/CVERecord?id=CVE-2023-26605
• Référence CVE CVE-2023-26606
  https://www.cve.org/CVERecord?id=CVE-2023-26606
• Référence CVE CVE-2023-26607
  https://www.cve.org/CVERecord?id=CVE-2023-26607