Уязвимост в микропрограмите на BMC-контролерите, засягаща сървъри на много производители

Компания Eclypsium установи две уязвимости в прошивках BMC-контроллера, предоставляемого в серверах Lenovo ThinkServer, позволяющие локальному пользователю манипулировать прошивкой или выполнять произвольный код на уровне BMC-чипа.

Дальнейший анализ показал, что данные проблемы затрагивают и прошивки BMC-контроллеров, применяемые в серверных платформах Gigabyte Enterprise Servers, которые также используются в серверах таких компаний, как Acer, AMAX, Bigtera, Ciara, Penguin Computing и sysGen. В подверженных BMC-контроллерах использовались уязвимые прошивки MergePoint EMS, разработанные сторонним поставщиком Avocent (в настоящее время частью компании Vertiv).

Первая уязвимость связана с отсутствием криптографической верификации загружаемых обновлений прошивки (используется только проверка контрольной суммы CRC32, что противоречит препоръки NIST использовать цифровые подписи), что предоставляет атакующему, имеющему локальный доступ к системе, возможность заменить прошивку BMC. Эта проблема, например, может быть использована для глубокой интеграции руткита, который останется активным даже после переустановки операционной системы, блокируя дальнейшие обновления прошивки (для устранения руткита потребуется применить программатор для перезаписи SPI flash).

Вторая уязвимость присутствует в коде обновления прошивки и позволяет внедрять команды, которые будут выполнены в BMC с высочайшим уровнем привилегий. Достаточно изменить значение параметра RemoteFirmwareImageFilePath в файле конфигурации bmcfwu.cfg, который определяет путь к образу обновляемой прошивки. Во время следующего обновления, которое можно инициировать командой в IPMI, данный параметр будет обработан BMC и использован в вызове popen() как часть строки для /bin/sh. Поскольку строка для формирования shell-команды создаётся с использованием вызова snprintf() без должной очистки спецсимволов, атакующие могут внедрить свой код для исполнения. Для эксплуатации уязвимости необходимо наличие прав, позволяющих отправить команду контроллеру BMC через IPMI (при наличии прав администратора на сервере можно отправить команду IPMI без дополнительной аутентификации).

Компанията Gigabyte и Lenovo бяха уведомени за проблемите още през юли 2018 година и успяха да пуснат актуализации преди публичното разкриване на информацията. Компанията Lenovo пусна издаде актуализации на фърмуера на 15 ноември 2018 година за сървъри ThinkServer RD340, TD340, RD440, RD540 и RD640, но отстрани единствено уязвимостта, позволяваща извършване на командна подмяна, тъй като по време на създаването на линия сървъри на базата на MergePoint EMS през 2014 година, верификацията на фърмуера с цифров подпис все още не беше широко разпространена и първоначално не беше обявена.

На 8 май тази година компанията Gigabyte пусна актуализации на фърмуера за дънни платки с контролер ASPEED AST2500, но както и Lenovo, отстрани единствено уязвимостта, свързана с командната подмяна. Уязвимите платки на базата на ASPEED AST2400 все още остават без актуализация. Gigabyte също заяви обяви преминаването към използване на фърмуери MegaRAC SP-X от компанията AMI. Включително новите фърмуери на базата на MegaRAC SP-X ще бъдат предложени за системи, които преди това са били доставяни с фърмуери MergePoint EMS. Решението е взето след заявлението на Vertiv за прекратяване на поддръжката на платформата MergePoint EMS. В момента няма информация относно актуализациите на фърмуерите на сървъри, произвеждани от компаниите Acer, AMAX, Bigtera, Ciara, Penguin Computing и sysGen на базата на платки Gigabyte и оборудвани с уязвими фърмуери MergePoint EMS.

Напомняме, че BMC представлява инсталиран в сървърите специализиран контролер, който разполага със собствен CPU, памет, хранилище и интерфейси за опитване на сензори, предоставяйки ниско ниво интерфейс за мониторинг и управление на сървърното оборудване. Чрез BMC, независимо от работещата на сървъра операционна система, може да се следи състоянието на сензорите, да се управлява захранването, фърмуерите и дисковете, да се организира дистанционно зареждане по мрежата, да се осигури работа на конзолата за дистанционен достъп и т.н.

Източник: opennet.ru