Firmaen Eclypsium to sårbarheder i firmware til BMC-controlleren, der leveres med Lenovo ThinkServer-servere, der muliggør, at en lokal bruger kan ændre firmwaren eller udføre vilkårlig kode på BMC-chippen.
Yderligere undersøgelser viste, at disse problemer også berører firmwaren til BMC-controllere, der anvendes i Gigabyte Enterprise Servers, som også bruges i servere fra virksomheder som Acer, AMAX, Bigtera, Ciara, Penguin Computing og sysGen. De problematiske BMC-controllere brugte sårbar firmware MergePoint EMS, udviklet af den tredjepartsleverandør Avocent (som nu er en del af Vertiv).
Den første sårbarhed skyldes fraværet af kryptografisk verifikation af de opdaterede firmware, da kun checksum CRC32 anvendes, i modsætning til NIST, der bruger digitale signaturer, hvilket giver en angriber med lokal adgang til systemet mulighed for at ændre BMC-firmwaren. Problemet kan f.eks. bruges til en dyb integrering af en rootkit, som forbliver aktiv efter geninstallation af operativsystemet og blokerer for fremtidige firmwareopdateringer (for at fjerne rootkit kræves det, at en programmerer bruges til at omskrive SPI-flash).
Den anden sårbarhed findes i koden til firmwareopdateringen og muliggør indsættelse af egne kommandoer, der vil blive udført i BMC med det højeste privilegieniveau. For at udføre angrebet er det blot nødvendigt at ændre værdien af parameteren RemoteFirmwareImageFilePath i konfigurationsfilen bmcfwu.cfg, som definerer stien til billedet af den opdaterede firmware. Under den næste opdatering, som kan initieres med en kommando i IPMI, vil denne parameter blive behandlet af BMC og brugt som en del af opkaldet popen() som en del af strengen til /bin/sh. Da strengen til oprettelse af shell-kommandoen genereres ved hjælp af opkaldet snprintf() uden ordentlig rensning af specialtegn, kan angriberne indsætte deres egen kode til udførelse. For at udnytte sårbarheden kræves der tilladelser, der giver mulighed for at sende en kommando til BMC-controlleren via IPMI (med administratorrettigheder på serveren kan en IPMI-kommando sendes uden yderligere autentificering).
Virksomhederne Gigabyte og Lenovo blev informeret om problemerne allerede i juli 2018 og nåede at udgive opdateringer før offentliggørelsen af oplysningerne. Lenovo udgav firmwareopdateringer den 15. november 2018 til ThinkServer RD340, TD340, RD440, RD540 og RD640 servere, men udbedrede kun sårbarheden, der tillod kommandoindsættelse, da verifikationen af firmware ved hjælp af digitale underskrifter ikke var bredt udtaget, da serverserien baseret på MergePoint EMS blev skabt i 2014, og det blev ikke oprindeligt angivet.
Den 8. maj i år udgav Gigabyte firmwareopdateringer til bundkort med ASPEED AST2500-controller, men ligesom Lenovo udbedrede de kun sårbarheden relateret til kommandoindsættelse. De sårbare bundkort baseret på ASPEED AST2400 er stadig uden opdateringer. Gigabyte har også overgået til at anvende firmware MegaRAC SP-X fra AMI. Herunder vil nye firmware baseret på MegaRAC SP-X blive tilbudt til systemer, der tidligere blev leveret med firmware fra MergePoint EMS. Beslutningen træffes efter Vertivs meddelelse om ophør af support til MergePoint EMS-platformen. Der er dog endnu ikke nogen meddelelse om opdatering af firmware på servere, der produceres af Acer, AMAX, Bigtera, Ciara, Penguin Computing og sysGen, baseret på Gigabyte-bundkort og udstyret med sårbare firmware fra MergePoint EMS.
Lad os huske, at BMC er en specialiseret controller, der installeres i servere, har sin egen CPU, hukommelse, lager og sensorinterfacer, som giver et lav-niveau interface til overvågning og styring af serverhardware. Ved hjælp af BMC kan man uafhængigt af det operativsystem, der kører på serveren, overvåge sensortilstanden, styre strøm, firmware og diske, organisere fjernopstart over netværket, sikre funktionaliteten af fjernadgangskonsollen osv.
Kilde: opennet.ru
