Turbepunkt BMC kontrolleri püsivara haavatavust, mis mõjutab paljusid tootjate servereid

Ettevõte Eclypsium tuvastas Kaks haavatavust Lenovo ThinkServerite BMC-kontrollerite püsivara, mis võimaldab kohalikel kasutajatel püsivara asendada või BMC-kiibi küljes täitmiseks juhuslikku koodi käivitada.

Edasi uurimine näitas, et need probleemi mõjutavad ka Gigabyte Enterprise Serverite BMC-kontrollerite püsivara, mida kasutavad ka sellised ettevõtted nagu Acer, AMAX, Bigtera, Ciara, Penguin Computing ja sysGen. Probleemsetes BMC-kontrollerites kasutati haavatavaid MergePoint EMS püsivara, mille on välja töötanud kolmandate osapoolte tarnija Avocent (praegu Vertivi osa).

Esimene haavatavus tuleneb krüptograafilise kontrollimise puudumisest laaditavatel püsivara värskendustel (kasutatakse vaid CRC32 kontrollsumma kontrolli, mis on vastuolus soovitused NIST digitaalsete allkirjade kasutamisega), mis võimaldab ründajal, kellel on kohalik juurdepääs süsteemile, BMC püsivara asendada. Probleemi saab näiteks kasutada rootkit'i sügava integreerimise jaoks, mis jääb aktiivseks pärast operatsioonisüsteemi uuendamist ja blokeerib edasised püsivara värskendused (rootkit'ist vabanemiseks on vajalik SPI flash'i ülekirjutamiseks programmeerija kasutamine).

Teine haavatavus esineb püsivara värskenduse koodis ja võimaldab oma käske sisestada, mis käivitatakse BMC-s kõrgeima privileegitasemega. Rünnaku jaoks piisab, kui muuta RemoteFirmwareImageFilePath parameetri väärtust bmcfwu.cfg konfiguratsioonifailis, milles määratletakse värskendatava püsivara pilt. Järgneva värskendamise ajal, mida saab käivitada käsklusega IPMI-s, töödeldakse seda parameetrit BMC-s ja kasutatakse popen() kutsumise osana failiteel /bin/sh. Kuna shell-käskude genereerimise rida luuakse snprintf() kutsumise abil ilma erimärkide nõuetekohase puhastamiseta, saavad ründajad sisestada oma koodi käitamiseks. Haavatavuse ekspluateerimiseks on vajalikud õigused, mis võimaldavad IPMI kaudu käsku BMC kontrollerile saata (olemasoleva administraatori õigustega serveris saab IPMI käsku saata ilma täiendava autentimiseta).

Gigabyte ja Lenovo said probleemidest teada juba juulis 2018 ja suudsid enne avaliku teabe avalikustamist välja anda värskendusi. Ettevõte Lenovo vabastas välja andnud 15. novembril 2018 järgmistel serveritel ThinkServer RD340, TD340, RD440, RD540 ja RD640, kuid kõrvaldas neist ainult haavatavuse, mis võimaldas käskude süstimise, kuna 2014. aastal MergePoint EMS baasil serverite seeria loomise ajal ei olnud spetsiaalsete digitaalsete allkirjade verifitseerimine veel laialt levinud ja algselt see ei olnud välja kuulutatud.

8. mail sel aastal kehitas Gigabyte välja värskendused emaplaatide jaoks, millel on ASPEED AST2500 kontroller, kuid nagu Lenovo, kõrvaldas ta ainult käskude süstimisega seotud haavatavuse. Haavatavad emaplaanid ASPEED AST2400 baasil jäävad värskendusteta. Gigabyte , et IPv4-aadressid saavad otsa lähipäevil. Üldiselt osutus tema prognoos üllatavalt täpseks. üleminekust MegaRAC SP-X püsivara kasutamisele AMI-lt. Uued MegaRAC SP-X baasil püsivara versioonid pakutakse ka süsteemidele, mis varem tarniti MergePoint EMS püsivaraga. Otsus tehti pärast Vertiv'i teadet MergePoint EMS platvormi toetamise lõpetamisest. Nende seas ei ole hetkel teateid värskendustest serverite püsivara osas, mida toodavad ettevõtted Acer, AMAX, Bigtera, Ciara, Penguin Computing ja sysGen Gigabyte emaplaatidel ja haavatava MergePoint EMS püsivaraga.

Tuletame meelde, et BMC on serverites installitav spetsialiseeritud kontroller, millel on oma CPU, mälu, salvestus ja andurite küsitlemise liidesed, mis pakub madala taseme liidese serveritehnika jälgimiseks ja haldamiseks. BMC-d kasutades saab olenemata serveris töötavast opsüsteemist jälgida andurite seisukorda, hallata toidet, püsivara ja kettaid, korraldada kaugloldimist ja tagada kaugjuhtimiskonsooli tööd jne.

Allikas: opennet.ru