Eclypsium සමාගම Lenovo ThinkServer සේවාදායකයේ සපයන ලද BMC පාලකයේ ස්ථිරාංගයේ ඇති දුර්වලතා දෙකක්, දේශීය පරිශීලකයෙකුට ස්ථිරාංග වෙනස් කිරීමට හෝ BMC චිප් පැත්තේ අත්තනෝමතික කේතය ක්‍රියාත්මක කිරීමට ඉඩ සලසයි.
වැඩිදුර විශ්ලේෂණයන් පෙන්නුම් කළේ මෙම ගැටළු Gigabyte Enterprise Servers server වේදිකා වල භාවිතා වන BMC පාලක වල ස්ථිරාංග වලටද බලපාන බවත්, Acer, AMAX, Bigtera, Ciara, Penguin Computing සහ sysGen වැනි සමාගම් වල සේවාදායක වලද භාවිතා වන බවයි. ගැටළුකාරී BMC පාලකයන් තෙවන පාර්ශවීය විකුණුම්කරු Avocent (දැන් Vertiv හි අංශයක්) විසින් සංවර්ධනය කරන ලද අවදානම් MergePoint EMS ස්ථිරාංග භාවිතා කරන ලදී.
පළමු අවදානමට හේතු වී ඇත්තේ බාගත කළ ස්ථිරාංග යාවත්කාලීනවල ගුප්ත ලේඛන සත්‍යාපනය නොමැතිකම (CRC32 චෙක්සම් සත්‍යාපනය පමණක් භාවිතා කරයි. NIST ඩිජිටල් අත්සන් භාවිතා කරයි), එමඟින් පද්ධතියට දේශීය ප්‍රවේශය ඇති ප්‍රහාරකයෙකුට BMC ස්ථිරාංග වංචා කිරීමට ඉඩ සලසයි. උදාහරණයක් ලෙස, ගැටළුව, මෙහෙයුම් පද්ධතිය නැවත ස්ථාපනය කිරීමෙන් පසුව සක්‍රියව පවතින rootkit ගැඹුරින් ඒකාබද්ධ කිරීමට භාවිතා කළ හැකි අතර තවදුරටත් ස්ථිරාංග යාවත්කාලීන කිරීම් අවහිර කරයි (rootkit ඉවත් කිරීම සඳහා, SPI ෆ්ලෑෂ් නැවත ලිවීමට ඔබට ක්‍රමලේඛකයෙකු භාවිතා කිරීමට අවශ්‍ය වනු ඇත).
දෙවන අවදානම ස්ථිරාංග යාවත්කාලීන කේතයේ පවතින අතර ඔබට ඔබේම විධාන ආදේශ කිරීමට ඉඩ සලසයි, එය BMC හි ඉහළම මට්ටමේ වරප්‍රසාද සමඟ ක්‍රියාත්මක වේ. පහර දීමට, යාවත්කාලීන ස්ථිරාංගයේ රූපය වෙත මාර්ගය තීරණය කරනු ලබන bmcfwu.cfg වින්‍යාස ගොනුවේ ඇති RemoteFirmwareImageFilePath පරාමිතියේ අගය වෙනස් කිරීම ප්‍රමාණවත් වේ. IPMI හි විධානයක් මඟින් ආරම්භ කළ හැකි මීළඟ යාවත්කාලීනයේදී, මෙම පරාමිතිය BMC විසින් සකසනු ලබන අතර /bin/sh සඳහා රේඛාවේ කොටසක් ලෙස popen() ඇමතුමේ කොටසක් ලෙස භාවිතා කරනු ඇත. ෂෙල් විධානය උත්පාදනය කිරීම සඳහා රේඛාව නිර්මාණය කර ඇත්තේ විශේෂ අක්ෂර නිසි ලෙස පිරිසිදු කිරීමකින් තොරව snprintf() ඇමතුම භාවිතයෙන්, ප්‍රහාරකයන්ට ක්‍රියාත්මක කිරීම සඳහා ඔවුන්ගේ කේතය ආදේශ කළ හැකිය. අවදානම් ප්‍රයෝජනයට ගැනීම සඳහා, ඔබට IPMI හරහා BMC පාලකය වෙත විධානයක් යැවීමට ඉඩ සලසන අයිතිවාසිකම් තිබිය යුතුය (ඔබට සේවාදායකයේ පරිපාලක අයිතිවාසිකම් තිබේ නම්, ඔබට අමතර සත්‍යාපනයකින් තොරව IPMI විධානයක් යැවිය හැක).
ගිගාබයිට් සහ ලෙනොවෝ වෙත 2018 ජූලි මාසයේදී ගැටළු පිළිබඳව දැනුම් දී ඇති අතර තොරතුරු ප්‍රසිද්ධියේ හෙළි කිරීමට පෙර යාවත්කාලීන කිරීම් නිකුත් කිරීමට සමත් විය. ලෙනොවෝ සමාගම ThinkServer RD15, TD2018, RD340, RD340 සහ RD440 සේවාදායකයන් සඳහා 540 නොවැම්බර් 640 වන දින ස්ථිරාංග යාවත්කාලීන කරන ලදී, නමුත් 2014 හි MergePoint EMS මත පදනම් වූ සේවාදායක පෙළක් නිර්මාණය කිරීමේදී විධාන ආදේශ කිරීමට ඉඩ සලසන අවදානමක් පමණක් ඉවත් කරන ලදී. ඩිජිටල් අත්සනක් භාවිතයෙන් සත්‍යාපනය සිදු කරන ලද අතර එය තවමත් පුළුල් ලෙස පැතිරී නොතිබූ අතර එය මුලින් ප්‍රකාශයට පත් කර නොමැත.
මෙම වසරේ මැයි 8 වන දින, Gigabyte විසින් ASPEED AST2500 පාලකය සමඟ මවු පුවරු සඳහා ස්ථිරාංග යාවත්කාලීන නිකුත් කරන ලදී, නමුත් Lenovo මෙන්, එය විධාන ආදේශන අවදානම පමණක් විසඳා ඇත. ASPEED AST2400 මත පදනම් වූ අවදානම් පුවරු දැනට යාවත්කාලීන නොමැතිව පවතී. ගිගාබයිට් ද AMI වෙතින් MegaRAC SP-X ස්ථිරාංග භාවිතා කිරීමට මාරුවීම ගැන. MegaRAC SP-X මත පදනම් වූ නව ස්ථිරාංග ඇතුළුව MergePoint EMS ස්ථිරාංග සමඟ කලින් නැව්ගත කළ පද්ධති සඳහා පිරිනමනු ලැබේ. මෙම තීරණය වර්ටිව් විසින් MergePoint EMS වේදිකාවට තවදුරටත් සහාය නොදක්වන බවට නිවේදනය කිරීමෙන් පසුවය. ඒ අතරම, Acer, AMAX, Bigtera, Ciara, Penguin Computing සහ Gigabyte පුවරු මත පදනම් වූ සහ අවදානමට ලක්විය හැකි MergePoint EMS ස්ථිරාංග වලින් සමන්විත sysGen විසින් නිෂ්පාදනය කරන ලද සේවාදායකයන් පිළිබඳ ස්ථිරාංග යාවත්කාලීන කිරීම් පිළිබඳව තවමත් කිසිවක් වාර්තා වී නොමැත.
BMC යනු සේවාදායකයන් තුළ ස්ථාපනය කර ඇති විශේෂිත පාලකයක් වන අතර, එහිම CPU, මතකය, ගබඩා කිරීම සහ සංවේදක ඡන්ද අතුරුමුහුණත් ඇති අතර, එය සේවාදායක උපකරණ අධීක්ෂණය සහ කළමනාකරණය සඳහා පහත් මට්ටමේ අතුරු මුහුණතක් සපයන බව අපි සිහිපත් කරමු. BMC භාවිතා කරමින්, සේවාදායකයේ ක්‍රියාත්මක වන මෙහෙයුම් පද්ධතිය කුමක් වුවත්, ඔබට සංවේදකවල තත්ත්වය නිරීක්ෂණය කළ හැකිය, බලය, ස්ථිරාංග සහ තැටි කළමනාකරණය, ජාලය හරහා දුරස්ථ ආරම්භ කිරීම සංවිධානය කිරීම, දුරස්ථ ප්‍රවේශ කොන්සෝලයක ක්‍රියාකාරිත්වය සහතික කිරීම යනාදිය.
මූලාශ්රය: opennet.ru