Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Исследователи вывили новый вектор атаки на серверы, работающие на материнских платах Supermicro. Вся проблема в новой связке уязвимостей — USBAnywhere. Более 47 тыс. рабочих станций и серверов в настоящее время уязвимы для удаленных атак, так как внутренний компонент открыт для доступа из Сети.

Обнаруженные уязвимости затрагивают BMC (Baseboard Management Controller — контроллер, реализующий логику работы IPMI). Есть и хорошие новости — разработчики уже успели выпустить патчи, устраняющие проблему USBAnywhere.

Тем не менее сотрудники Supermicro, а также ряд экспертов в области безопасности рекомендуют закрыть доступ извне к интерфейсу управления BMC.

Первыми о USBAnywhere сообщили исследователи из компании Eclypsium. Согласно отчёту экспертов, бреши затрагивают функцию виртуального USB в прошивке.

Эта функция позволяет системным администраторам подключать USB-устройства к компьютерам, однако при этом управлять ими как виртуальным USB.

Команда Eclypsium заявила, что ей удалось выявить четыре проблемы безопасности:

  • Процесс аутентификации позволял использовать имя пользователя и пароль в виде простого текста.
  • Незашифрованный сетевой трафик. Вообще, шифрование предусмотрено, но клиент должен запросить его.
  • Слабое шифрование. Пейлоад шифруется при помощи RC4 и с использованием фиксированного ключа, который генерируется в прошивке BMC. Известно, что RC4 содержит ряд уязвимостей.
  • Обход аутентификации (касается только платформ Supermicro X10 и X11). Самая опасная из обнаруженных брешей, так как позволяет атакующему реализовать постоянно повторяющиеся подключения к веб-интерфейсу BMC.

По оценкам специалистов, на сегодняшний день в Сети работают от 47 000 до 55 000 уязвимых систем.

«Сканирование TCP-порта 623 в интернете открыло около 47 339 BMC более чем из 90 стран. У всех уязвимый компонент доступен из Сети», — пишут сотрудники Eclypsium.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Более трети россиян готовы к аутентификации без паролей

Согласно совместному исследованию «Лаборатории Касперского», Почты Mail и Hi-Tech Mail, свыше трети россиян готовы отказаться от привычных паролей в пользу альтернативных способов авторизации, таких как биометрия или одноразовые коды.

В опросе приняли участие 1950 пользователей сервисов VK по всей стране.

Полностью перейти на беспарольные методы аутентификации готовы 16% респондентов, а еще 12% считают возможным использовать их для важных сервисов. При этом 9% опрошенных предпочитают быть осторожнее и готовы отказаться от паролей только при доступе к менее важным ресурсам.

Уже сегодня беспарольными методами пользуется 31% участников исследования, а еще 27% применяют их для защиты наиболее важных аккаунтов — в мессенджерах, электронной почте и онлайн-банкинге.

28% респондентов отмечают удобство и надежность беспарольных решений, однако 19% уверены, что лишь традиционные пароли способны обеспечить достаточную безопасность.

«Переход к беспарольной аутентификации не только значительно усиливает защиту аккаунтов, но и заметно улучшает пользовательский опыт. Людям больше не нужно запоминать множество сложных паролей, а риск их утечки из-за повторного использования на разных платформах существенно снижается. Мы также наблюдаем этот позитивный тренд в наших продуктах», — подчеркнул руководитель команды информационной безопасности Почты и Облака Mail Дмитрий Водяной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru