Azienda Eclypsium due vulnerabilità nei firmware del controller BMC forniti nei server Lenovo ThinkServer, che consentono a un utente locale di sostituire il firmware o eseguire codice arbitrario sul chip BMC.
Un'ulteriore analisi ha rivelato che questi problemi riguardano anche i firmware dei controller BMC utilizzati nelle piattaforme server Gigabyte Enterprise Servers, che sono anche impiegate in server di aziende come Acer, AMAX, Bigtera, Ciara, Penguin Computing e sysGen. Nei problematici controller BMC sono stati utilizzati firmware vulnerabili MergePoint EMS, sviluppati dal fornitore terzo Avocent (che attualmente è una divisione della società Vertiv).
La prima vulnerabilità è causata dalla mancanza di verifica crittografica degli aggiornamenti del firmware caricati (viene utilizzato solo il controllo del checksum CRC32, contrariamente a NIST che richiede l'uso di firme digitali), consentendo a un aggressore con accesso locale al sistema di sostituire il firmware BMC. Il problema, ad esempio, può essere utilizzato per una profonda integrazione di un rootkit che rimane attivo dopo la reinstallazione del sistema operativo e blocca ulteriori aggiornamenti del firmware (per rimuovere il rootkit è necessario un programmatore per riscrivere la flash SPI).
La seconda vulnerabilità è presente nel codice di aggiornamento del firmware e consente la sostituzione dei propri comandi, che verranno eseguiti nel BMC con il massimo livello di privilegi. Per l'attacco è sufficiente cambiare il valore del parametro RemoteFirmwareImageFilePath nel file di configurazione bmcfwu.cfg, tramite il quale viene definito il percorso all'immagine del firmware da aggiornare. Durante il successivo aggiornamento, che può essere avviato tramite un comando IPMI, questo parametro verrà elaborato dal BMC e utilizzato nella chiamata popen() come parte della stringa per /bin/sh. Poiché la stringa per la formazione del comando shell viene creata utilizzando la chiamata snprintf() senza una corretta pulizia dei caratteri speciali, gli aggressori possono inserire il proprio codice da eseguire. Per sfruttare la vulnerabilità è necessario avere diritti che consentano di inviare un comando al controller BMC tramite IPMI (con i diritti di amministratore sul server è possibile inviare il comando IPMI senza ulteriore autenticazione).
Le aziende Gigabyte e Lenovo sono state avvisate dei problemi già nel luglio 2018 e sono riuscite a rilasciare aggiornamenti prima della divulgazione pubblica delle informazioni. L'azienda Lenovo ha rilasciato aggiornamenti del firmware il 15 novembre 2018 per i server ThinkServer RD340, TD340, RD440, RD540 e RD640, ma ha risolto solo la vulnerabilità che consente l'inserimento di comandi, poiché durante la creazione della linea di server basata su MergePoint EMS nel 2014 la verifica del firmware tramite firma digitale non era ancora ampiamente diffusa e non era inizialmente dichiarata.
L'8 maggio di quest'anno, l'azienda Gigabyte ha rilasciato aggiornamenti del firmware per le schede madri con controller ASPEED AST2500, ma come Lenovo ha risolto solo la vulnerabilità associata all'inserimento di comandi. Le schede vulnerabili basate su ASPEED AST2400 rimangono ancora senza aggiornamenti. Gigabyte ha anche annunciato il passaggio all'uso del firmware MegaRAC SP-X dell'azienda AMI. I nuovi firmware basati su MegaRAC SP-X saranno offerti anche per i sistemi precedentemente forniti con firmware MergePoint EMS. Questa decisione è stata presa dopo l'annuncio di Vertiv di interrompere il supporto per la piattaforma MergePoint EMS. Tuttavia, non ci sono ancora notizie sugli aggiornamenti del firmware sui server realizzati dalle aziende Acer, AMAX, Bigtera, Ciara, Penguin Computing e sysGen basati su schede Gigabyte e dotati di firmware vulnerabili MergePoint EMS.
Ricordiamo che il BMC è un controller specializzato installato nei server, dotato di una propria CPU, memoria, archiviazione e interfacce per il monitoraggio dei sensori, che fornisce un'interfaccia di basso livello per monitorare e gestire l'hardware del server. Con il BMC, indipendentemente dal sistema operativo in esecuzione sul server, è possibile monitorare lo stato dei sensori, gestire l'alimentazione, i firmware e i dischi, organizzare l'avvio remoto attraverso la rete, garantire il funzionamento della console di accesso remoto, e altro ancora.
Fonte: opennet.ru
