Supermicro BMC kontrolleridagi zaiflik zararli kodni bajarishga imkon beradi.

Supermicro kontrollerlaridagi dasturiy ta’minotni yangilash mexanizmi yuklab olingan yangilanishni kriptografik tekshirishni amalga oshirmaydi.

Supermicro anakartlarida ishlatiladigan BMC yangilash mexanizmi zararli kodni kiritish va bajarish imkonini beruvchi zaiflikni o’z ichiga oladi, uni olib tashlash qiyin. Baseboard Management Controller (BMC) serverni masofadan boshqarish uchun ixtisoslashgan kontrollerdir. BMC odatda serverning anakartiga o’rnatiladi va xost va mehmon operatsion tizimidan mustaqil ravishda apparat komponentlarini boshqarish uchun ishlatiladi. Kontroller shuningdek, tizim dasturini masofadan turib tuzatish, o’zgartirish yoki qayta o’rnatish imkonini beradi.

Eclypsium mutaxassislari tushuntirganidek, muammo Supermicro kontrollerlarining dasturiy ta’minotni yangilash mexanizmida, yuklab olingan yangilanishni kriptografik ravishda tekshirmasligida va shu bilan uni o’zgartirishga imkon bermasligida. Ushbu zaiflikdan antivirus yechimlarini chetlab o’tib, tizimni qayta o’rnatishdan omon qoladigan zararli kodni ishga tushirish uchun foydalanish mumkin.

Hujumni muvaffaqiyatli amalga oshirish uchun ma’lumotlar markazi tarmog’iga yoki boshqaruvchiga kirishning boshqa vositalariga kirish huquqiga ega bo’lgan tajovuzkor dasturiy ta’minotni yangilash jarayonini to’xtatishi, uni o’zgartirishi va keyin uni boshqaruvchiga uzatishi kerak bo’ladi, boshqaruvchi esa uni tegishli tekshiruvsiz o’rnatadi. Shu bilan bir qatorda, tajovuzkor kiruvchi internet-trafikni to’xtatishi va yuklab olingan yangilanishlarni o’zgartirishi mumkin.

Tadqiqotchilarning fikriga ko’ra, zaiflik BMC kontrollerini yoki hatto butun serverni butunlay o’chirib qo’yish imkonini beradi. Bundan tashqari, hujum serverga jismoniy kirishni talab qilmaydi – agar hujumchi BMC administrator paroliga ega bo’lsa, uni BMC LAN interfeysi orqali masofadan turib amalga oshirish mumkin.

Mutaxassislar ishlab chiqaruvchiga o’zlarining kashfiyotlari haqida xabar berishdi. Zaiflik allaqachon tuzatilgan.