Das Unternehmen Eclypsium zwei Sicherheitsanfälligkeiten in der Firmware des BMC-Controllers, der in Lenovo ThinkServern verbaut ist, die es einem lokalen Benutzer ermöglichen, die Firmware zu manipulieren oder beliebigen Code auf dem BMC-Chip auszuführen.
Eine weitere Analyse ergab, dass diese Probleme auch die Firmware der BMC-Controller betreffen, die in den Serverplattformen von Gigabyte Enterprise Servers verwendet werden, die auch in Servern von Unternehmen wie Acer, AMAX, Bigtera, Ciara, Penguin Computing und sysGen zu finden sind. In den betroffenen BMC-Controllern wurden anfällige MergePoint EMS-Firmwares verwendet, die von dem Drittanbieter Avocent (der mittlerweile ein Teil des Unternehmens Vertiv ist) entwickelt wurden.
Die erste Sicherheitsanfälligkeit wird durch das Fehlen einer kryptografischen Überprüfung der heruntergeladenen Firmware-Updates verursacht (es wird nur eine CRC32-Prüfziffer verwendet, entgegen den des NIST, digitale Signaturen zu verwenden), was es einem Angreifer mit lokalem Zugang zum System ermöglicht, die BMC-Firmware zu ändern. Dieses Problem könnte beispielsweise für die tiefe Integration eines Rootkits genutzt werden, das nach der Neuinstallation des Betriebssystems aktiv bleibt und weitere Firmware-Updates blockiert (zur Beseitigung des Rootkits wäre ein Programmierer erforderlich, um den SPI-Flash zu überschreiben).
Die zweite Sicherheitsanfälligkeit ist im Code des Firmware-Updates vorhanden und ermöglicht die Einspeisung eigener Befehle, die mit den höchsten Privilegien im BMC ausgeführt werden. Um einen Angriff durchzuführen, reicht es aus, den Wert des Parameters RemoteFirmwareImageFilePath in der Konfigurationsdatei bmcfwu.cfg zu ändern, der den Pfad zum Firmware-Image definiert. Während eines nachfolgenden Updates, das durch einen Befehl im IPMI initiiert werden kann, wird dieser Parameter vom BMC verarbeitet und als Teil des Aufrufs von popen() in der Zeichenkette für /bin/sh verwendet. Da die Zeichenkette zur Erstellung des Shell-Befehls mittels snprintf() ohne die erforderliche Säuberung von Sonderzeichen erstellt wird, können Angreifer ihren eigenen Code zur Ausführung einschleusen. Für die Ausnutzung der Sicherheitsanfälligkeit sind Zugriffsrechte erforderlich, die es ermöglichen, über IPMI einen Befehl an den BMC-Controller zu senden (mit Administratorrechten auf dem Server kann ein IPMI-Befehl ohne weitere Authentifizierung gesendet werden).
Die Unternehmen Gigabyte und Lenovo wurden bereits im Juli 2018 über die Probleme informiert und konnten vor der öffentlichen Bekanntgabe der Informationen Updates herausgeben. Das Unternehmen Lenovo veröffentlichte am 15. November 2018 Firmware-Updates für die Server ThinkServer RD340, TD340, RD440, RD540 und RD640, behebt jedoch nur die Schwachstelle, die das Einfügen von Befehlen ermöglicht, da bei der Erstellung der Serverreihe auf Basis von MergePoint EMS im Jahr 2014 die Verifizierung von Firmware durch digitale Signaturen noch nicht weit verbreitet war und zunächst nicht angekündigt wurde.
Am 8. Mai dieses Jahres veröffentlichte Gigabyte Firmware-Updates für Motherboards mit dem ASPEED AST2500-Controller, beseitigte jedoch wie Lenovo nur die Schwachstelle, die mit dem Einfügen von Befehlen verbunden ist. Die betroffenen Boards auf Basis von ASPEED AST2400 bleiben vorerst ohne Update. Gigabyte auch zum Wechsel zu Firmware MegaRAC SP-X von AMI. Unter anderem werden neue Firmware-Versionen auf Basis von MegaRAC SP-X für Systeme angeboten, die zuvor mit Firmware MergePoint EMS ausgeliefert wurden. Diese Entscheidung wurde nach der Ankündigung von Vertiv über die Einstellung der Unterstützung der Plattform MergePoint EMS getroffen. Es gibt jedoch bisher keine Informationen über Firmware-Updates für Server, die von den Unternehmen Acer, AMAX, Bigtera, Ciara, Penguin Computing und sysGen auf Basis von Gigabyte-Platinen hergestellt und mit anfälliger MergePoint EMS-Firmware ausgestattet sind.
Erinnern wir uns daran, dass BMC ein spezialisierter Controller ist, der in Servern installiert wird, über eigene CPU, Speicher, Speicher und Sensorabfrage-Schnittstellen verfügt und eine Low-Level-Schnittstelle für die Überwachung und Verwaltung von Serverhardware bereitstellt. Mit Hilfe von BMC kann unabhängig vom Betriebssystem, das auf dem Server läuft, der Zustand der Sensoren überwacht, die Stromversorgung, Firmware und Festplatten verwaltet, eine Remote-Boot-Option über das Netzwerk eingerichtet und der Zugriff über die Konsole ermöglicht werden.
Quelle: opennet.ru
