BMC 供应链新漏洞影响数十家制造商的服务器

Hackernews 编译，转载请注明出处：

美国Megatrends（AMI）MegaRAC基板管理控制器（BMC）软件中披露了三种不同的安全漏洞，可能导致在易受攻击的服务器上执行远程代码。

固件和硬件安全公司Eclypsium在与The Hacker News分享的一份报告中表示：“利用这些漏洞的影响包括远程控制受感染的服务器，远程部署恶意软件、勒索软件和固件植入物，以及服务器物理损坏（砖砌）。”

BMC是服务器中的特权独立系统，用于控制低级硬件设置和管理主机操作系统，即使在计算机断电的情况下也是如此。

这些功能使BMC成为黑客的目标，他们希望在操作系统重新安装和硬盘更换后幸存下来的设备上植入持久性恶意软件。

这些新发现的问题统称为BMC&C，攻击者可以访问Redfish等远程管理界面（IPMI），从而利用这些漏洞，可能使对手能够控制系统并使云基础设施面临风险。

其中最严重的漏洞是 CVE-2022-40259（CVSS评分：9.9），这是一种通过Redfish API执行任意代码的情况，要求攻击者在设备上拥有最低级别的访问权限（回调权限或更高）。

CVE-2022-40242（CVSS评分：8.3）与系统管理员用户的哈希有关，可以破解和滥用该哈希值以获得管理shell访问权限，而CVE-2022-2827（CVSS 评分：7.5）是密码重置功能中的一个漏洞，可以利用该漏洞来确定是否存在具有特定用户名的帐户。

研究人员解释说：“[CVE-2022-2827]允许精确定位预先存在的用户，并且不会导致进入shell，但会为攻击者提供暴力攻击或撞库攻击的目标列表。”

调查结果再次强调了确保固件供应链和确保BMC系统不直接暴露在互联网上的重要性。

该公司表示：“由于数据中心倾向于在特定硬件平台上实现标准化，任何BMC级别的漏洞都很可能适用于大量设备，并可能影响整个数据中心及其提供的服务。”

Binarly在基于AMI的设备中披露了多个高影响漏洞，这些漏洞可能导致早期启动阶段（即EFI前环境）内存损坏和任意代码执行。

今年5月早些时候，Eclypsium还发现了影响Quanta Cloud Technology（QCT）服务器的所谓“Pantsdown”BMC漏洞，成功利用该漏洞可以让攻击者完全控制设备。

消息来源：TheHackerNews，译者：Shirley；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文