Společnost Eclypsium Dvě zranitelnosti ve firmwarech BMC kontroléru dodávaného v serverech Lenovo ThinkServer, které umožňují místnímu uživateli vyměnit firmware nebo provést libovolný kód na straně čipu BMC.
Další analýza ukázala, že tyto problémy se týkají i firmwarech BMC kontrolérů používaných v serverových platformách Gigabyte Enterprise Servers, které jsou také využívány ve serverech firem jako Acer, AMAX, Bigtera, Ciara, Penguin Computing a sysGen. V problematických BMC kontrolérech byly použity zranitelné firmwary MergePoint EMS, vyvinuté externím dodavatelem Avocent (v současnosti je součástí společnosti Vertiv).
První zranitelnost je způsobena absencí kryptografické verifikace stahovaných aktualizací firmwaru (pouze se používá kontrola CRC32, na rozdíl od NIST, který používá digitální podpisy), což umožňuje útočníkovi s místním přístupem k systému vyměnit firmware BMC. Tento problém může být například využit k hluboké integraci rootkitu, který zůstává aktivní po přeinstalaci operačního systému a blokuje další aktualizace firmwaru (k odstranění rootkitu je nutné použít programátor pro přepsání SPI flash).
Druhá zranitelnost je přítomna v kódu aktualizace firmwaru a umožňuje podstrčení vlastních příkazů, které budou provedeny v BMC s nejvyššími privilegii. Pro útok stačí změnit hodnotu parametru RemoteFirmwareImageFilePath v konfiguračním souboru bmcfwu.cfg, který určuje cestu k obrazu aktualizovaného firmwaru. Při dalším aktualizaci, kterou lze iniciovat příkazem v IPMI, bude tento parametr zpracován BMC a použit jako součást volání popen() ve formátu řetězce pro /bin/sh. Vzhledem k tomu, že řetězec pro sestavení shellového příkazu se vytváří pomocí volání snprintf() bez řádného čištění speciálních znaků, útočníci mohou podstrčit svůj kód k provedení. Pro zneužití zranitelnosti je potřeba mít práva, která umožňují odeslat příkaz na BMC kontrolér prostřednictvím IPMI (při administrátorských právech na serveru lze odeslat příkaz IPMI bez další autentizace).
Společnosti Gigabyte a Lenovo byly o problémech informovány již v červenci 2018 a stihly vydat aktualizace před veřejným odhalením informací. Společnost Lenovo vydala aktualizace firmwaru 15. listopadu 2018 pro servery ThinkServer RD340, TD340, RD440, RD540 a RD640, ale odstranila v nich pouze zranitelnost, která umožňovala provádět injektování příkazů, protože během vývoje řady serverů na bázi MergePoint EMS v roce 2014 ověřování firmware pomocí digitálního podpisu ještě nebylo běžně rozšířené a původně nebylo uvedeno.
8. května tohoto roku společnost Gigabyte vydala aktualizace firmwaru pro základní desky s ovladačem ASPEED AST2500, ale stejně jako Lenovo odstranila pouze zranitelnost související s injektováním příkazů. Zranitelné desky na bázi ASPEED AST2400 zatím zůstávají bez aktualizace. Společnost Gigabyte také přejde na používání firmwaru MegaRAC SP-X od společnosti AMI. Nové firmwary založené na MegaRAC SP-X budou také nabízeny pro systémy, které byly dříve dodávány s firmwarem MergePoint EMS. Toto rozhodnutí bylo učiněno po prohlášení společnosti Vertiv o ukončení podpory platformy MergePoint EMS. O aktualizaci firmwaru na serverech vyráběných společnostmi Acer, AMAX, Bigtera, Ciara, Penguin Computing a sysGen na základě desek Gigabyte a vybavených zranitelnými firmwary MergePoint EMS se zatím nic neoznámilo.
Připomínáme, že BMC je specializovaný kontroler, který je instalován v serverech, má vlastní CPU, paměť, úložiště a senzory, a poskytuje nízkoúrovňové rozhraní pro monitorování a řízení serverového vybavení. Pomocí BMC je možné nezávisle na operačním systému běžícím na serveru sledovat stav senzorů, spravovat napájení, firmwary a disky, organizovat vzdálené bootování přes síť, poskytovat konzoli pro vzdálený přístup atd.
Zdroj: opennet.ru
