פגיעות בקושחה של בקר BMC המשפיעה על שרתים מיצרנים רבים

חברת אקליפסיום גילה שתי נקודות תורפה בקושחה של בקר BMC המסופק בשרתי Lenovo ThinkServer, המאפשרות למשתמש מקומי לשנות את הקושחה או להפעיל קוד שרירותי בצד שבב BMC.

ניתוח נוסף הראה שבעיות אלו משפיעות גם על הקושחה של בקרי BMC המשמשים בפלטפורמות שרתים של Gigabyte Enterprise Servers, המשמשות גם בשרתים של חברות כמו Acer, AMAX, Bigtera, Ciara, Penguin Computing ו-sysGen. בקרי ה-BMC הבעייתיים השתמשו בקושחת MergePoint EMS פגיעה שפותחה על ידי ספק צד שלישי Avocent (כיום חטיבה של Vertiv).

הפגיעות הראשונה נגרמת על ידי היעדר אימות קריפטוגרפי של עדכוני קושחה שהורדו (נעשה שימוש רק באימות CRC32 checksum, להיפך המלצות NIST משתמש בחתימות דיגיטליות), מה שמאפשר לתוקף עם גישה מקומית למערכת לזייף את קושחת BMC. הבעיה, למשל, יכולה לשמש לשילוב עמוק של rootkit שנשאר פעיל לאחר התקנה מחדש של מערכת ההפעלה וחוסם עדכוני קושחה נוספים (כדי לחסל את ה-rootkit, תצטרך להשתמש במתכנת כדי לשכתב את הפלאש SPI).

הפגיעות השנייה קיימת בקוד עדכון הקושחה ומאפשרת לך להחליף פקודות משלך, שיבוצעו ב-BMC עם רמת ההרשאות הגבוהה ביותר. כדי לתקוף, מספיק לשנות את הערך של הפרמטר RemoteFirmwareImageFilePath בקובץ התצורה bmcfwu.cfg, שדרכו נקבע הנתיב לתמונה של הקושחה המעודכנת. במהלך העדכון הבא, שניתן ליזום על ידי פקודה ב-IPMI, פרמטר זה יעובד על ידי ה-BMC וישמש כחלק מהקריאה popen() כחלק מהשורה עבור /bin/sh. מכיוון שהשורה להפקת פקודת המעטפת נוצרת באמצעות הקריאה snprintf() ללא ניקוי נכון של תווים מיוחדים, התוקפים יכולים להחליף את הקוד שלהם בביצוע. כדי לנצל את הפגיעות, עליך להיות בעל זכויות המאפשרות לך לשלוח פקודה לבקר BMC באמצעות IPMI (אם יש לך זכויות מנהל בשרת, תוכל לשלוח פקודת IPMI ללא אימות נוסף).

Gigabyte ולנובו קיבלו הודעה על הבעיות עוד ביולי 2018 והצליחו לשחרר עדכונים לפני שהמידע נחשף לציבור. חברת לנובו שוחרר עדכוני קושחה ב-15 בנובמבר 2018 עבור שרתי ThinkServer RD340, TD340, RD440, RD540 ו-RD640, אך רק ביטלו בהם פגיעות המאפשרת החלפת פקודות, שכן במהלך יצירת שורת שרתים המבוססת על MergePoint EMS ב-2014, קושחה האימות בוצע באמצעות חתימה דיגיטלית עדיין לא היה נפוץ ולא הוכרז בתחילה.

ב-8 במאי השנה, Gigabyte הוציאה עדכוני קושחה עבור לוחות אם עם בקר ASPEED AST2500, אבל כמו לנובו, היא רק תיקנה את פגיעות החלפת הפקודות. לוחות פגיעים המבוססים על ASPEED AST2400 נשארים ללא עדכונים לעת עתה. גם גיגה-בייט אמר על המעבר לשימוש בקושחה MegaRAC SP-X מ-AMI. כולל קושחה חדשה המבוססת על MegaRAC SP-X תוצע עבור מערכות שנשלחו בעבר עם קושחת MergePoint EMS. ההחלטה באה בעקבות ההכרזה של Vertiv כי היא לא תתמוך יותר בפלטפורמת MergePoint EMS. יחד עם זאת, עדיין לא דווח דבר לגבי עדכוני קושחה בשרתים המיוצרים על ידי Acer, AMAX, Bigtera, Ciara, Penguin Computing ו-sysGen המבוססים על לוחות Gigabyte ומצוידים בקושחה MergePoint EMS פגיעה.

נזכיר ש-BMC הוא בקר מיוחד המותקן בשרתים, שיש לו ממשקי מעבד, זיכרון, אחסון וסקר חיישנים משלו, המספקים ממשק ברמה נמוכה לניטור וניהול ציוד שרתים. באמצעות BMC, ללא קשר למערכת ההפעלה הפועלת על השרת, ניתן לנטר את מצב החיישנים, לנהל צריכת חשמל, קושחה ודיסקים, לארגן אתחול מרחוק ברשת, להבטיח הפעלה של קונסולת גישה מרחוק וכו'.

מקור: OpenNet.ru