Τα κρίσιμα σφάλματα AMI MegaRAC μπορούν να επιτρέψουν στους χάκερ να δημιουργήσουν ευάλωτους διακομιστές

Εικόνα:

Bing

Image Creator

Δύο νέα τρωτά σημεία κρίσιμης σοβαρότητας ανακαλύφθηκαν στο λογισμικό MegaRAC Baseboard Management Controller (BMC) που κατασκευάστηκε από την εταιρεία υλικού και λογισμικού American Megatrends International.

Το MegaRAC BMC παρέχει στους διαχειριστές δυνατότητες απομακρυσμένης διαχείρισης συστήματος “out-of-band” και “lights-out”, δίνοντάς τους τη δυνατότητα να αντιμετωπίζουν προβλήματα με τους διακομιστές σαν να ήταν φυσικά μπροστά από τις συσκευές.

Το υλικολογισμικό χρησιμοποιείται από περισσότερους από δώδεκα κατασκευαστές διακομιστών που παρέχουν εξοπλισμό σε πολλούς παρόχους υπηρεσιών

cloud

και κέντρων δεδομένων. Οι προμηθευτές που επηρεάζονται περιλαμβάνουν τις AMD, Asus, ARM, Dell EMC, Gigabyte, Lenovo,

Nvidia

, Qualcomm, Hewlett-Packard Enterprise,

Huawei

, Ampere Computing, ASRock και άλλες.

Οι ερευνητές ασφαλείας του Eclypsium βρήκαν τα ελαττώματα (που εντοπίζονται ως CVE-2023-34329 και CVE-2023-34330) αφού ανέλυσαν τον πηγαίο κώδικα AMI που έκλεψε η συμμορία ransomware RansomEXX μετά την παραβίαση του δικτύου του κολοσσού υλικού υπολογιστών GIGABYTE, ενός από τους επιχειρηματικούς συνεργάτες της AMI.

Όπως ανέφερε η BleepingComputer, οι εισβολείς απειλών RansomEXX δημοσίευσαν τα κλεμμένα αρχεία τον Αύγουστο του 2021 στον ιστότοπο διαρροής δεδομένων σκοτεινού ιστού τους.

Τα δύο ελαττώματα ασφαλείας επιτρέπουν στους εισβολείς να παρακάμψουν τον έλεγχο ταυτότητας ή να εισάγουν κακόβουλο κώδικα μέσω

Κόκκινο ψάρι

διεπαφές απομακρυσμένης διαχείρισης που εκτίθενται σε απομακρυσμένη πρόσβαση:

• CVE-2023-34329 – Παράκαμψη ελέγχου ταυτότητας μέσω πλαστογράφησης κεφαλίδων HTTP (9,9/10 βασική βαθμολογία CVSS 3,0)
• CVE-2023-34330 – Έγχυση κωδικού μέσω διεπαφής Dynamic Redfish Extension (6,7/10 βασική βαθμολογία CVSS 3.0)

Συνδυάζοντας αυτά τα τρωτά σημεία, ένας απομακρυσμένος εισβολέας με πρόσβαση δικτύου στη διεπαφή διαχείρισης BMC και χωρίς διαπιστευτήρια BMC μπορεί να αποκτήσει απομακρυσμένη εκτέλεση κώδικα σε διακομιστές που εκτελούν ευάλωτο υλικολογισμικό.

Αυτό επιτυγχάνεται εξαπατώντας το BMC ώστε να αντιληφθεί το αίτημα HTTP ως προερχόμενο από την εσωτερική διεπαφή. Κατά συνέπεια, ο εισβολέας μπορεί να ανεβάσει και να εκτελέσει αυθαίρετο κώδικα εξ αποστάσεως, ενδεχομένως ακόμη και από το Διαδίκτυο, εάν η διεπαφή είναι εκτεθειμένη στο διαδίκτυο.

Το Impact περιλαμβάνει bricking διακομιστή και άπειρους βρόχους επανεκκίνησης

“Ο αντίκτυπος της εκμετάλλευσης αυτών των τρωτών σημείων περιλαμβάνει τον απομακρυσμένο έλεγχο παραβιασμένων διακομιστών, την απομακρυσμένη ανάπτυξη κακόβουλου λογισμικού, ransomware και υλικολογισμικό εμφύτευσης ή δημιουργίας στοιχείων μητρικής πλακέτας (BMC ή δυνητικά BIOS/UEFI), πιθανή φυσική ζημιά σε διακομιστές (over-voltage / firmware bricking) και απεριόριστη διακοπή του εν λόγω θύματος reboot.”

«Πρέπει επίσης να τονίσουμε ότι ένα τέτοιο εμφύτευμα μπορεί να είναι εξαιρετικά δύσκολο να εντοπιστεί και είναι εξαιρετικά εύκολο να αναδημιουργηθεί για οποιονδήποτε εισβολέα με τη μορφή εκμετάλλευσης μιας γραμμής».

Τον Δεκέμβριο του 2022 και τον Ιανουάριο του 2023, το Eclypsium αποκάλυψε πέντε ακόμη τρωτά σημεία MegaRAC BMC (CVE-2022-40259, CVE-2022-40242, CVE-2022-2827, CVE-2022-26872, CVE-2022-26872 και CVE-2022-26872, και CVE-2022-26872, και CVE-2022-26872, και CVE-2022-26872) , ή να μολύνει εξ αποστάσεως παραβιασμένους διακομιστές με κακόβουλο λογισμικό.

Επιπλέον, οι δύο ευπάθειες υλικολογισμικού MegaRAC BMC που αποκαλύφθηκαν σήμερα μπορούν να συνδεθούν με αυτές που αναφέρονται παραπάνω.

Συγκεκριμένα, το CVE-2022-40258, το οποίο περιλαμβάνει ασθενείς κατακερματισμούς κωδικών πρόσβασης για το Redfish & API, θα μπορούσε να βοηθήσει τους εισβολείς να σπάσουν τους κωδικούς πρόσβασης διαχειριστή για τους λογαριασμούς διαχειριστή στο τσιπ BMC, καθιστώντας την επίθεση ακόμα πιο απλή.

«Δεν έχουμε δει κανένα στοιχείο ότι αυτές ή οι προηγουμένως αποκαλυπτόμενες ευπάθειές μας BMC&C γίνονται αντικείμενο εκμετάλλευσης στη φύση», δήλωσε ο Eclypsium.

«Ωστόσο, επειδή οι φορείς απειλών έχουν πρόσβαση στα ίδια δεδομένα πηγής, ο κίνδυνος να οπλιστούν αυτές οι ευπάθειες αυξάνεται σημαντικά».