Eclypsium twee kwetsbaarheden in de firmware van de BMC-controller die wordt geleverd met Lenovo ThinkServer-servers, waarmee een lokale gebruiker de firmware kan vervangen of willekeurige code kan uitvoeren op de BMC-chip.
Verdere analyse heeft aangetoond dat deze problemen ook de firmware van BMC-controllers treffen die worden gebruikt in Gigabyte Enterprise Servers, die ook worden gebruikt in servers van bedrijven zoals Acer, AMAX, Bigtera, Ciara, Penguin Computing en sysGen. De problematische BMC-controllers maakten gebruik van kwetsbare MergePoint EMS-firmware, ontwikkeld door de externe leverancier Avocent (nu een dochteronderneming van Vertiv).
De eerste kwetsbaarheid wordt veroorzaakt door het ontbreken van cryptografische verificatie van de geladen firmware-updates (er wordt alleen een CRC32-controle gebruikt, in tegenstelling tot NIST dat digitale handtekeningen gebruikt), waardoor een aanvaller met lokale toegang tot het systeem de BMC-firmware kan vervangen. Dit probleem kan bijvoorbeeld worden gebruikt voor een diepgaande integratie van een rootkit, die actief blijft na een herinstallatie van het besturingssysteem en verdere firmware-updates blokkeert (voor het verwijderen van de rootkit is een programmeerapparaat vereist voor het herschrijven van de SPI-flash).
De tweede kwetsbaarheid zit in de firmware-updatecode en staat toe dat er vervangende commando's worden ingevoerd, die zullen worden uitgevoerd in de BMC met het hoogste niveau van privileges. Voor de aanval is het voldoende om de waarde van de parameter RemoteFirmwareImageFilePath in het configuratiebestand bmcfwu.cfg te wijzigen, waarmee het pad naar de image van de te updaten firmware wordt gedefinieerd. Tijdens de volgende update, die kan worden geĆÆnitieerd met een opdracht in IPMI, zal deze parameter door de BMC worden verwerkt en gebruikt als onderdeel van de oproep popen() als onderdeel van de string voor /bin/sh. Aangezien de string voor het samenstellen van het shell-commando wordt gemaakt met behulp van een oproep aan snprintf() zonder de juiste opschoon van speciale tekens, kunnen aanvallers hun eigen code invoegen voor uitvoering. Voor het exploiteren van de kwetsbaarheid zijn rechten vereist die het mogelijk maken om een IPMI-opdracht naar de BMC-controller te verzenden (met administratorrechten op de server kan een IPMI-opdracht zonder aanvullende authenticatie worden verzonden).
De bedrijven Gigabyte en Lenovo werden al in juli 2018 op de problemen gewezen en hebben updates uitgebracht vĆ³Ć³r de openbare bekendmaking. Het bedrijf Lenovo bracht op 15 november 2018 firmware-updates uit voor de ThinkServer RD340, TD340, RD440, RD540 en RD640 servers, maar loste daarin alleen de kwetsbaarheid op die het mogelijk maakte om commando's te injecteren, aangezien de verificatie van firmware via digitale handtekeningen tijdens de ontwikkeling van de servers op basis van MergePoint EMS in 2014 nog niet algemeen werd toegepast en aanvankelijk niet werd aangekondigd.
Op 8 mei van dit jaar heeft Gigabyte firmware-updates uitgebracht voor de moederborden met de ASPEED AST2500-controller, maar net als Lenovo loste het alleen de kwetsbaarheid op die verband houdt met het injecteren van commando's. Kwetsbare borden op basis van ASPEED AST2400 blijven nog zonder update. Gigabyte heeft ook besloten over te schakelen naar het gebruik van MegaRAC SP-X firmware van AMI. Ook zullen de nieuwe MegaRAC SP-X firmware worden aangeboden voor systemen die eerder waren geleverd met MergePoint EMS firmware. Deze beslissing werd genomen na de aankondiging van Vertiv om de ondersteuning voor het MergePoint EMS-platform te staken. Voor wat betreft de update van de firmware op de servers van de bedrijven Acer, AMAX, Bigtera, Ciara, Penguin Computing en sysGen, gebaseerd op Gigabyte-borden met kwetsbare MergePoint EMS-firmware, is er vooralsnog niets bekend.
Ter herinnering, BMC is een speciaal controller die in servers wordt geĆÆnstalleerd, met zijn eigen CPU, geheugen, opslag en interfaces voor het opvragen van sensoren, dat een laagdrempelig interface biedt voor het monitoren en beheren van serverhardware. Met behulp van BMC kan de status van sensoren worden gecontroleerd, kan het stroom, firmware en schijven worden beheerd, kan er remote boot over het netwerk worden georganiseerd, kan een console voor remote toegang worden geboden, enz.
Bron: opennet.ru
