Уязвимост в фърмуерите на BMC контролерите, засягаща сървъри на много производители

Компания Eclypsium разкри две уязвимости в фърмуера на BMC контролера, доставян в сървърите Lenovo ThinkServer, които позволяват на локален потребител да подмени фърмуера или да изпълни произволен код на чипа на BMC.

По-нататъшният анализ показа, че тези проблеми засягат и фърмуерите на BMC контролерите, използвани в сървърните платформи Gigabyte Enterprise Servers, които също се използват в сървъри на компании като Acer, AMAX, Bigtera, Ciara, Penguin Computing и sysGen. В проблемните BMC контролери са използвани уязвими фърмуери MergePoint EMS, разработени от трета страна, Avocent (в момента част от Vertiv).

Първата уязвимост е причинена от липсата на криптографска проверка на заредени обновления на фърмуера (вместо това се използва само проверка на контролна сума CRC32, в разрез с препоръките на NIST да се използват цифрови подписи), което позволява на нападателя, който има локален достъп до системата, да подмени фърмуера на BMC. Проблемът, например, може да бъде използван за дълбока интеграция на руткит, който остава активен след преинсталиране на операционната система и блокира по-нататъшни обновления на фърмуера (за отстраняване на руткита е необходимо да се използва програматор за презапис на SPI flash).

Втората уязвимост присъства в кода на обновлението на фърмуера и позволява подмяна на свои команди, които ще бъдат изпълнени в BMC с най-високо ниво на привилегии. За атака е достатъчно да промените стойността на параметъра RemoteFirmwareImageFilePath в конфигурационния файл bmcfwu.cfg, чрез който се определя пътят до образа на обновения фърмуер. По време на следващото обновление, което може да бъде инициирано с команда в IPMI, този параметър ще бъде обработен от BMC и използван в състава на извикването popen() като част от низ за /bin/sh. Тъй като низът за форматиране на shell командата се създава с извикване на snprintf() без адекватно почистване на специални символи, атакуващите могат да подменят своя код за изпълнение. За експлоатация на уязвимостта е необходимо наличие на права, позволяващи да се изпраща команда на контролера BMC чрез IPMI (при наличие на административни права на сървъра, команда IPMI може да бъде изпратена без допълнителна аутентификация).

Компаниите Gigabyte и Lenovo бяха уведомени за проблемите още през юли 2018 година и успяха да пуснат актуализации преди публичното разкриване на информацията. Компанията Lenovo пусна актуализации на фърмуера на 15 ноември 2018 година за сървъри ThinkServer RD340, TD340, RD440, RD540 и RD640, но отстрани само уязвимост, позволяваща инжектиране на команди, тъй като по време на създаването на серията сървъри на базата на MergePoint EMS през 2014 година верификацията на фърмуера по цифров подпис още не беше широко разпространена и първоначално не беше заявена.

На 8 май тази година компанията Gigabyte пусна актуализации на фърмуера за дънни платки с контролер ASPEED AST2500, но, както и Lenovo, отстрани само уязвимостта, свързана с инжектирането на команди. Уязвимите платки на базата на ASPEED AST2400 все още остават без актуализация. Gigabyte също заяви за преминаване на използването на фърмуер MegaRAC SP-X от компанията AMI. Включително новите фърмуери на базата на MegaRAC SP-X ще бъдат предложени за системи, предоставяните преди с фърмуер MergePoint EMS. Решението е взето след заявлението на Vertiv за прекратяване на поддръжката на платформата MergePoint EMS. При това за актуализациите на фърмуерите на сървърите, произвеждани от компаниите Acer, AMAX, Bigtera, Ciara, Penguin Computing и sysGen на базата на платки Gigabyte и оборудвани с уязвими фърмуери MergePoint EMS, все още нищо не се съобщава.

Напомняме, че BMC представлява специализиран контролер, инсталиран в сървърите, който има свой собствен CPU, памет, хранилище и интерфейси за мониторинг на сензори, предоставящ нискоуровнев интерфейс за мониторинг и управление на сървърното оборудване. С помощта на BMC независимо от операционната система, работеща на сървъра, могат да се проследяват състоянието на сензорите, да се управлява захранването, фърмуера и дисковете, да се организира дистанционно зареждане по мрежата, да се осигури работа на конзолата за дистанционен достъп и т.н.

Източник: opennet.ru