Sebezhetőség a BMC-vezérlők firmware-jában, amely számos gyártó szervereit érinti

Eclypsium cég feltárta Két sebezhetőség a Lenovo ThinkServer szerverekhez szállított BMC vezérlők firmware-jében, amelyek lehetővé teszik a helyi felhasználók számára a firmware manipulálását vagy tetszőleges kód végrehajtását a BMC chip oldalán.

A további elemzés azt mutatta, hogy ezek a problémák a Gigabyte Enterprise Servers szerverplatformok BMC vezérlőinek firmware-jét is érintik, amelyeket olyan cégek használnak, mint az Acer, AMAX, Bigtera, Ciara, Penguin Computing és sysGen. A problémás BMC vezérlőkben sebezhető MergePoint EMS firmware-t használtak, amelyet a külső beszállító, az Avocent (jelenleg a Vertiv leányvállalata) fejlesztett ki.

Az első sebezhetőség a letöltött firmware frissítések kriptográfiai ellenőrzésének hiányából adódik (csak CRC32 ellenőrzést használnak, a NIST digitális aláírások használatával szemben), ami lehetővé teszi a támadó számára, aki helyi hozzáféréssel rendelkezik a rendszerhez, hogy manipulálja a BMC firmware-t. A probléma például felhasználható rootkit mély integrációjára, amely aktív marad az operációs rendszer újratelepítése után és blokkolja a firmware későbbi frissítéseit (a rootkit eltávolításához SPI flash újraírásához programozóra van szükség). ajánlásainkat A második sebezhetőség a firmware frissítő kódjában található, és lehetővé teszi saját parancsok behelyettesítését, amelyeket a BMC legmagasabb jogosultsági szintjén fognak végrehajtani. A támadáshoz elegendő módosítani a RemoteFirmwareImageFilePath paraméter értékét a bmcfwu.cfg konfigurációs fájlban, amely meghatározza a frissítendő firmware kép útját. A következő frissítés során, amelyet IPMI parancs indíthat el, ezt a paramétert a BMC feldolgozza és felhasználja a popen() hívás részeként a /bin/sh parancs számára. Mivel a shell parancs létrehozásához a snprintf() hívását használják megfelelő speciális karakterek tisztítása nélkül, a támadók saját kódjukat behelyettesíthetik a végrehajtásra. A sebezhetőség kihasználásához szükséges, hogy jogosultságokkal rendelkezzenek, amelyek lehetővé teszik a BMC vezérlőnek IPMI parancs küldését (adminisztrátori jogokkal a szerveren az IPMI parancsot további hitelesítés nélkül lehet küldeni).

A második sebezhetőség a firmware frissítő kódjában található, és lehetővé teszi saját parancsok behelyettesítését, amelyeket a BMC legmagasabb jogosultsági szintjén fognak végrehajtani. A támadáshoz elegendő módosítani a RemoteFirmwareImageFilePath paraméter értékét a bmcfwu.cfg konfigurációs fájlban, amely meghatározza a frissítendő firmware kép útját. A következő frissítés során, amelyet IPMI parancs indíthat el, ezt a paramétert a BMC feldolgozza és felhasználja a popen() hívás részeként a /bin/sh parancs számára. Mivel a shell parancs létrehozásához a snprintf() hívását használják megfelelő speciális karakterek tisztítása nélkül, a támadók saját kódjukat behelyettesíthetik a végrehajtásra. A sebezhetőség kihasználásához szükséges, hogy jogosultságokkal rendelkezzenek, amelyek lehetővé teszik a BMC vezérlőnek IPMI parancs küldését (adminisztrátori jogokkal a szerveren az IPMI parancsot további hitelesítés nélkül lehet küldeni).

A Gigabyte és a Lenovo cégek 2018 júliusában értesültek a problémákról, és még a nyilvános bejelentés előtt kiadták a frissítéseket. A Lenovo cég kiadta november 15-én firmware-frissítéseket adott ki a ThinkServer RD340, TD340, RD440, RD540 és RD640 szerverekhez, de csak azokat a sebezhetőségeket hárította el, amelyek lehetővé tették a parancsok beszúrását, mivel a MergePoint EMS alapú szerverek 2014-es megalkotása során még nem volt elterjedt a firmware-ek digitális aláírásának ellenőrzése, és eredetileg nem is került bejelentésre.

Idén május 8-án a Gigabyte kiadta a frissítéseket az ASPEED AST2500 vezérlővel rendelkező alaplapokhoz, de mint a Lenovo, ők is csak a parancsok beszúrásával kapcsolatos sebezhetőséget hárította el. Az ASPEED AST2400 alapú sebezhető lapok egyelőre frissítések nélkül maradnak. A Gigabyte szintén bejelentette átáll a MegaRAC SP-X firmware-ekre az AMI cégtől. Az új MegaRAC SP-X alapú firmware-eket korábban MergePoint EMS firmware-ral szállított rendszerekhez is felkínálják. Ezt a döntést a Vertiv nyilatkozata után hozták, amelyben bejelentették a MergePoint EMS platform támogatásának leállítását. Jelenleg nincs hír a Gigabyte alapú lapokat használó Acer, AMAX, Bigtera, Ciara, Penguin Computing és sysGen cégek által gyártott szerverek firmware-frissítéseiről, amelyek sebezhető MergePoint EMS firmware-rel rendelkeznek.

Ne feledjük, hogy a BMC egy speciális vezérlő, amely a szerverekbe van integrálva, saját CPU-val, memóriával, tárolóval és érzékelői interfészekkel rendelkezik, és alacsony szintű felületet biztosít a szerverhardverek felügyeletére és kezelésére. A BMC segítségével függetlenül a szerveren futó operációs rendszertől nyomon követhető az érzékelők állapota, kezelhető a tápellátás, a firmware és a merevlemezek, távoli hálózati indítás végezhető, valamint távoli hozzáférés konzola biztosítható stb.

Forrás: opennet.ru