Luki w oprogramowaniu serwerów czołowych firm. Eksperci ostrzegają

Podatności dotyczą oprogramowania firmowego dla kontrolerów BMC (Baseboard Management Controller), czyli niewielkich komputerów wbudowanych w płyty główne wszystkich serwerów, odpowiedzialnych za monitorowanie fizycznego stanu urządzenia, serwera sieciowego lub innego sprzętu. Złośliwe oprogramowanie ukryte w nich przez cyberprzestępców w praktyce może być niewykrywalne dla systemu operacyjnego, a także oprogramowania zabezpieczającego przed wirusami - ostrzegają specjaliści z firmy Eclypsium.

Luki bezpieczeństwa dotyczą oprogramowania dla BMC dostarczanego przez firmę Vertiv (wcześniej znaną jako Avocent). Zdaniem ekspertów firmy, które ucierpią w wyniku wykorzystania odkrytych podatności przez hakerów, mogą utracić dane, a także mieć do czynienia z uszkodzeniami sprzętowymi oraz umożliwić cyberprzestępcom wejście do nowego systemu operacyjnego zainstalowanego w ramach usuwania skutków incydentu.

Obie podatności pozwalają potencjalnym hakerom na uzyskanie uprawnień administratora systemu na serwerze oraz wykonanie kodu na kontrolerze BMC, co z kolei otwiera drogę do jego dowolnych modyfikacji. Hakerzy mogą wykorzystać mikroprocesor do zablokowania pobierania aktualizacji oprogramowania dla serwera, a także wyłączyć kontroler całkowicie.

Firma Lenovo jako pierwsza udostępniła użytkownikom swoich produktów informacje o błędach wykrytych przez Eclypsium i podziękowała pracownikom tego przedsiębiorstwa, a także wezwała swoich klientów do upewnienia się, że na ich serwerach działa aktualna wersja oprogramowania dla BMC. Lenovo zaleciło również swoim klientom, by ograniczyli dostępność uprawnień dysponujących dużymi przywilejami w systemie jedynie do zaufanych administratorów.

Firma Gigabyte z kolei opublikowała łatkę naprawczą dla oprogramowania swoich produktów, nie wydała jednak szczegółowych zaleceń dla klientów w związku ze sprawą.

Serwis Computer Weekly podaje, że podatność dotyczy również serwerów takich producentów jak Acer, AMAX, Bigtera, Ciara, Penguin Computing i sysGen.

SZP/PAP