6-летняя уязвимость в BMC затрагивает серверы Intel и Lenovo

6-летняя уязвимость в BMC затрагивает серверы Intel и Lenovo

Уязвимость в веб-сервере Lighttpd, застрагивающая контроллеры управления основной платой (Baseboard Management Controllers, BMC), почти шесть лет игнорировалась техногигантами Intel и Lenovo. В случае эксплуатации этого бага злоумышленники могут обойти защитные механизмы вроде ASLR.

Специалисты компании Binarly, сканируя BMC в Сети, недавно обнаружили уязвимость чтения за пределами границ, которую можно использовать через веб-сервер Lighttpd, обрабатывающий сложенные заголовки HTTP-запросов.

К сожалению, разработчики не стали уведомлять производителей о бреши и даже не присвоили ей CVE-идентификатор: просто тайком выпустили патч в версии Lighthttpd 1.4.51.

Такой подход привёл к тому, что девелоперы AMI MegaRAC BMC пропустили важное обновление и не успели его вовремя интегрировать в свой продукт. В результате вся цепочка поставки оказалась скомпрометирована.

 

Как известно, микроконтроллеры BMC используются в установленных на серверах материнках, включая системы дата-центров и облачные среды. Они отвечают за удалённое управление, перезагрузку, мониторинг и обновление прошивок.

Как выяснили исследователи из Binarly, Lighttpd оставался без патча с 2019 по 2023 год, что в итоге привело к выпуску множества изначально уязвимых устройств.

«Согласно собранным Binarly Transparency Platform данным, в настоящее время брешь содержат многие продукты от Intel, Lenovo и Supermicro», — рассказали в Binarly.

 

Специалисты присвоили проблемам внутренние идентификаторы с кратким описанием:

  • BRLY-2024-002 — уязвимость в Lighttpd версии 1.4.45, которая используется в Intel M70KLP с последней прошивкой.
  • BRLY-2024-003 — также затрагивает Lighttpd 1.4.35 и параллельно влияет на Lenovo BMC с последней прошивкой - 2.88.58. В зоне риска модели HX3710, HX3710-F и HX2710-E.
  • BRLY-2024-004 — общая уязвимость в Lighttpd (версии до 1.4.51). Допускает чтение данных из памяти серверного процесса.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Российский рынок ИБ снизит темпы роста до 10-15%

Как отметил в интервью ТАСС, взятом на полях Восточного экономического форума (ВЭФ), вице-президент «Ростелекома», генеральный директор ГК «Солар» Игорь Ляпунов, в 2024 г. темпы роста российского ИБ-рынка снизятся до 10-15%.

Основным фактором торможения является ситуация в экономике.

«Ключевая ставка Банка России и дополнительная налоговая нагрузка очень серьезно давят на бюджеты компаний 2025 года, особенно когда у компаний есть большие инвестпрограммы и приличная долговая нагрузка. В 2025 году будет пик долговой нагрузки — это все приводит к очень консервативному планированию бюджетов, в том числе на ИБ, следующего года», — такой вывод сделал Игорь Ляпунов в беседе с корреспондентом ТАСС.

Основным драйвером рынка, по оценке главы ГК «Солар», остаются кибератаки, которые продолжают расти как количественно, так и качественно. Фактор импортозамещения, по оценке Игоря Ляпунова, уже полностью отыграл свою роль.

Плюс ко всему он обратил внимание на то, что не введена ответственность за неисполнение нормативов по импортозамещению даже для владельцев объектов критической информационной инфраструктуры, и в целом на рынке есть ожидание, что установленные сроки будут смещены или будут введены какие-то индульгенции от регуляторов.

«Вновь создаваемые, вводимые в строй объекты КИИ, новые информационные системы строятся уже на российском программном обеспечении, оборудовании, средствах защиты информации. Но остается огромный хвост в виде старых систем с зарубежным ПО, которые все еще работают. Исторически, безусловно, что-то будет выводиться из эксплуатации — это горизонт трех-четырех лет. Моя оценка — 30–40% пока не замещено», — такую оценку ситуации с импортозамещением дал Игорь Ляпунов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru