Företaget Eclypsium tvÄ sÄrbarheter i BMC-kontroller firmware som levereras med Lenovo ThinkServer-servrar, vilket gör det möjligt för en lokal anvÀndare att byta firmware eller köra godtycklig kod pÄ BMC-chippet.
En vidare granskning visade att dessa problem Àven pÄverkar firmware för BMC-kontroller som anvÀnds i Gigabyte Enterprise Servers, som ocksÄ anvÀnds i servrar frÄn företag som Acer, AMAX, Bigtera, Ciara, Penguin Computing och sysGen. I de problematiska BMC-kontrollerna anvÀndes sÄrbar firmware MergePoint EMS, utvecklad av tredjepartsleverantören Avocent (numera en del av Vertiv).
Den första sÄrbarheten orsakas av bristen pÄ kryptografisk verifiering av laddade firmwareuppdateringar (endast CRC32-kontroll anvÀnds, i strid med NIST:s anvÀndning av digitala signaturer), vilket gör det möjligt för en angripare med lokal Ätkomst till systemet att byta ut BMC-firmware. Problemet kan, till exempel, anvÀndas för att djupt integrera en rootkit som förblir aktiv efter ominstallation av operativsystemet och blockerar framtida firmwareuppdateringar (för att ta bort rootkit behövs en programmerare för att skriva om SPI-flash).
Den andra sÄrbarheten finns i firmwareuppdateringskoden och gör att angripare kan injicera egna kommandon som kommer att köras i BMC med högsta privilegier. För attacken rÀcker det att Àndra vÀrdet av parameter RemoteFirmwareImageFilePath i konfigurationsfilen bmcfwu.cfg, genom vilken sökvÀgen till den uppdaterade firmwareavbildningen definieras. Under nÀsta uppdatering, som kan initieras med ett kommando i IPMI, kommer denna parameter att bearbetas av BMC och anvÀndas i ett popen()-anrop som en del av strÀngen för /bin/sh. Eftersom strÀngen för att skapa shell-kommandot genereras med anropet snprintf() utan korrekt rensning av specialtecken, kan angripare injicera sin egen kod för utförande. För att utnyttja sÄrbarheten krÀvs rÀttigheter som gör det möjligt att skicka ett kommando till BMC-kontrollern via IPMI (med administratorrÀttigheter pÄ servern kan ett IPMI-kommando skickas utan ytterligare autentisering).
Företagen Gigabyte och Lenovo informerades om problemen redan i juli 2018 och lyckades slÀppa uppdateringar innan den offentliga avslöjandet. Företaget Lenovo slÀppte firmware-uppdateringar den 15 november 2018 för serverarna ThinkServer RD340, TD340, RD440, RD540 och RD640, men ÄtgÀrdade endast sÄrbarheten som möjliggör kommandoinjektion, eftersom verifiering av firmware med digitala signaturer inte var allmÀnt utbrett och frÄn början inte angetts vid skapandet av serverlinjen baserad pÄ MergePoint EMS 2014.
Den 8 maj i Är slÀppte Gigabyte firmware-uppdateringar för moderkort med ASPEED AST2500-kontroller, men liksom Lenovo ÄtgÀrdade de endast sÄrbarheten relaterad till kommandoinjektion. De sÄrbara moderkorten baserade pÄ ASPEED AST2400 har Ànnu inte fÄtt uppdatering. Gigabyte meddelade ocksÄ övergÄngen till anvÀndningen av MegaRAC SP-X-firmware frÄn AMI. De nya firmware pÄ MegaRAC SP-X-basis kommer Àven att erbjudas för system som tidigare levererades med MergePoint EMS-firmware. Beslutet fattades efter Vertivs meddelande om att de slutar stödja MergePoint EMS-plattformen. För tillfÀllet har inget meddelats om firmwareuppdateringar för servrar tillverkade av Acer, AMAX, Bigtera, Ciara, Penguin Computing och sysGen baserade pÄ Gigabyte-moderkort och utrustade med sÄrbar MergePoint EMS-firmware.
Det bör pÄminnas om att BMC representerar en specialiserad controller installerad i servrar, som har sin egen CPU, minne, lagring och grÀnssnitt för sensoravlÀsning, och som ger ett lÄg-nivÄ grÀnssnitt för övervakning och hantering av serverutrustning. Genom BMC kan man oavsett vilket operativsystem som körs pÄ servern övervaka status av sensorer, hantera strömförsörjning, firmware och diskar, organisera fjÀrrstart över nÀtverket, samt sÀkerstÀlla funktionaliteten hos fjÀrrÄtkomstkonsolen osv.
KĂ€lla: opennet.ru
