Yöneticiler, güvenlik amacıyla Supermicro Akıllı Yönetim uzaktan izleme çözümünü güncellemelidir.
Duyuru
Binarly araştırmacıları, blog yazılarında, dördü kaşifleri tarafından kritik olarak sınıflandırılan toplam yedi güvenlik açığını tanımlıyor. Supermicro kartlara lehimlenen Anakart Yönetim Denetleyicisi (BMC) yongalarının donanım yazılımında güvenlik açıkları bulunabilir. Daha doğrusu: ürün yazılımının web sunucusu bileşenlerinde. Üreticiye göre on birinci sınıf (X11, H11, B11, M11) ve on ikinci sınıf (H12) kartların yanı sıra CMM uzaktan yönetim serisi ürünleri de etkileniyor. Sistemleri korumak için yöneticilerin güvenli BMC ürün yazılımını yüklemesi gerekir. Supermicro şu anda bunun tam olarak ne olduğunu detaylandırmıyor ve sürüm notlarına atıfta bulunuyor.
Binarly kurucusu Alex Matrosov sorgulandığında güvenlik nedeniyle X10 veya X9 gibi eski serilerin de etkilendiğini doğruladı. Görünen o ki, bu kartlara lehimlenen Aten BMC çipleri, daha genç halefleriyle aynı zayıflıklara sahip. Ancak üretici, bu eski kartlar için artık resmi olarak desteklenmediğinden ürün yazılımı güncellemeleri sunmuyor.
Tam erişim
Supermicro, BMC modeli için IPMI (Akıllı Platform Yönetim Arayüzü) standardına güvenmektedir. IPMI sıcaklıklar, fanlar veya güç tüketimi gibi faktörleri izlemek için kullanılır ve ayrıca sunucu sistemini uzaktan kontrol etmek için de kullanılabilir. IPMI’ye erişimi olan herkesin elleri esas olarak sunucuya bağlı klavye üzerindedir ve örneğin herhangi bir UEFI ürün yazılımını yükleyebilir ve yeniden başlatma sırasında bile makineyi kontrol altında tutabilir.
Binarly’ye göre, hatalardan üçü (CVE-2023-40284, CVE-2023-40287 ve CVE-2023-40288) aynı derecede ciddi çünkü saldırganların oturum açmış meşru kullanıcı bağlamında rastgele JavaScript kodu çalıştırmasına izin veriyorlar. Supermicro’nun bu güvenlik açıklarına ilişkin derecelendirmesi Binarly’nin “kritik” derecelendirmesinden “yüksek” olarak farklıdır çünkü satıcı, bir saldırganın IPMI arayüzünün IP adresini bilmediğini varsaymaktadır.
Güvenlik araştırmacıları, IP’leri tarayarak bulmanın kolay olduğuna dikkat çekiyor: Shodan’ın yardımıyla, İnternet üzerinden HTTP/HTTPS aracılığıyla erişilebilen 70.000’den fazla IPMI arayüzü buldular. Bu sunucu anakartlarının yanlış yapılandırma nedeniyle internette serbestçe bulunup bulunmadığı veya örneğin bir barındırma sağlayıcısının özel sunucuların IPMI arayüzlerini genel IP’lerle önceden yapılandırıp yapılandırmadığı açık değildir.
Güvenliği ihlal edilmiş sistemler
Kesin olan bir şey var: Art arda gelen hatalar nedeniyle tüm bu sunucular tamamen saldırganların kontrolü altına girebilir. Çünkü bir saldırgan, yukarıda bahsedilen üç bug’ın saldırısını, kötüye kullanımı kök haklarına sahip komutların gönderilmesine izin veren, keşfedilen bir başka güvenlik açığına (CVE-2023-40284) yönelik bir saldırı ile birleştirirse, sunucu operatörü açısından felaket tamamlanmış olur. görüş. Supermicro henüz herhangi bir saldırı gözlemlemediğini söylüyor.
Bilgisayar korsanları blog yazılarında Supermicro’nun diğer boşlukların önemini küçümsemeye çalıştığını söylüyor. Binarly araştırmacıları şöyle yazıyor: “Müşterilerin bireysel güncellemelerin kritikliğini yanlış bilgilerle değerlendirmeleri gerektiğinden, bu temelde yanlış bir tutumdur.”
(İtibaren)
Haberin Sonu
Duyuru
Binarly araştırmacıları, blog yazılarında, dördü kaşifleri tarafından kritik olarak sınıflandırılan toplam yedi güvenlik açığını tanımlıyor. Supermicro kartlara lehimlenen Anakart Yönetim Denetleyicisi (BMC) yongalarının donanım yazılımında güvenlik açıkları bulunabilir. Daha doğrusu: ürün yazılımının web sunucusu bileşenlerinde. Üreticiye göre on birinci sınıf (X11, H11, B11, M11) ve on ikinci sınıf (H12) kartların yanı sıra CMM uzaktan yönetim serisi ürünleri de etkileniyor. Sistemleri korumak için yöneticilerin güvenli BMC ürün yazılımını yüklemesi gerekir. Supermicro şu anda bunun tam olarak ne olduğunu detaylandırmıyor ve sürüm notlarına atıfta bulunuyor.
Binarly kurucusu Alex Matrosov sorgulandığında güvenlik nedeniyle X10 veya X9 gibi eski serilerin de etkilendiğini doğruladı. Görünen o ki, bu kartlara lehimlenen Aten BMC çipleri, daha genç halefleriyle aynı zayıflıklara sahip. Ancak üretici, bu eski kartlar için artık resmi olarak desteklenmediğinden ürün yazılımı güncellemeleri sunmuyor.
Tam erişim
Supermicro, BMC modeli için IPMI (Akıllı Platform Yönetim Arayüzü) standardına güvenmektedir. IPMI sıcaklıklar, fanlar veya güç tüketimi gibi faktörleri izlemek için kullanılır ve ayrıca sunucu sistemini uzaktan kontrol etmek için de kullanılabilir. IPMI’ye erişimi olan herkesin elleri esas olarak sunucuya bağlı klavye üzerindedir ve örneğin herhangi bir UEFI ürün yazılımını yükleyebilir ve yeniden başlatma sırasında bile makineyi kontrol altında tutabilir.
Binarly’ye göre, hatalardan üçü (CVE-2023-40284, CVE-2023-40287 ve CVE-2023-40288) aynı derecede ciddi çünkü saldırganların oturum açmış meşru kullanıcı bağlamında rastgele JavaScript kodu çalıştırmasına izin veriyorlar. Supermicro’nun bu güvenlik açıklarına ilişkin derecelendirmesi Binarly’nin “kritik” derecelendirmesinden “yüksek” olarak farklıdır çünkü satıcı, bir saldırganın IPMI arayüzünün IP adresini bilmediğini varsaymaktadır.
Güvenlik araştırmacıları, IP’leri tarayarak bulmanın kolay olduğuna dikkat çekiyor: Shodan’ın yardımıyla, İnternet üzerinden HTTP/HTTPS aracılığıyla erişilebilen 70.000’den fazla IPMI arayüzü buldular. Bu sunucu anakartlarının yanlış yapılandırma nedeniyle internette serbestçe bulunup bulunmadığı veya örneğin bir barındırma sağlayıcısının özel sunucuların IPMI arayüzlerini genel IP’lerle önceden yapılandırıp yapılandırmadığı açık değildir.
Güvenliği ihlal edilmiş sistemler
Kesin olan bir şey var: Art arda gelen hatalar nedeniyle tüm bu sunucular tamamen saldırganların kontrolü altına girebilir. Çünkü bir saldırgan, yukarıda bahsedilen üç bug’ın saldırısını, kötüye kullanımı kök haklarına sahip komutların gönderilmesine izin veren, keşfedilen bir başka güvenlik açığına (CVE-2023-40284) yönelik bir saldırı ile birleştirirse, sunucu operatörü açısından felaket tamamlanmış olur. görüş. Supermicro henüz herhangi bir saldırı gözlemlemediğini söylüyor.
Bilgisayar korsanları blog yazılarında Supermicro’nun diğer boşlukların önemini küçümsemeye çalıştığını söylüyor. Binarly araştırmacıları şöyle yazıyor: “Müşterilerin bireysel güncellemelerin kritikliğini yanlış bilgilerle değerlendirmeleri gerektiğinden, bu temelde yanlış bir tutumdur.”
(İtibaren)
Haberin Sonu