USB-Attacks máy chủ Supermicro từ xa qua lỗ hổng BMC

USB-Attacks máy chủ Supermicro từ xa qua lỗ hổng BMC

Các máy chủ doanh nghiệp được cung cấp bởi bo mạch chủ Supermicro có thể bị xâm phạm từ xa bằng cách cắm hầu hết các thiết bị USB độc hại, các nhà nghiên cứu an ninh mạng tại công ty bảo mật phần mềm Eclypsium nói với SEV TEAM.

Vâng đúng rồi. Bạn có thể khởi chạy tất cả các loại tấn công USB chống lại các máy chủ Supermicro dễ bị xâm nhập mà không thực sự truy cập chúng hoặc chờ nạn nhân của bạn lấy một ổ USB không xác định, không tin cậy và cắm nó vào máy tính của họ.

Được gọi chung là ” USB Anywhere “, cuộc tấn công tận dụng một số lỗ hổng mới được phát hiện trong phần sụn của bộ điều khiển BMC có thể cho phép kẻ tấn công từ xa, trái phép kết nối với máy chủ Supermicro và gần như gắn thiết bị USB độc hại.

Đi kèm với phần lớn các chipset máy chủ, bộ điều khiển quản lý baseboard (BMC) là một con chip phần cứng trong lõi của các tiện ích Giao diện quản lý nền tảng thông minh (IPMI) cho phép các hệ thống điều khiển từ xa và giám sát máy chủ mà không cần phải truy cập hệ điều hành hoặc các ứng dụng chạy trên nó. Nói cách khác, BMC là một hệ thống quản lý ngoài băng tần cho phép quản trị viên khởi động lại thiết bị từ xa, phân tích nhật ký, cài đặt hệ điều hành và cập nhật chương trình cơ sở, biến nó thành một trong những thành phần đặc quyền nhất trong công nghệ doanh nghiệp hiện nay. Một khả năng BMC như vậy bao gồm gắn phương tiện ảo để kết nối hình ảnh đĩa dưới dạng đĩa CD-ROM ảo hoặc ổ đĩa mềm với máy chủ từ xa.

Theo một báo cáo được Eclypsium công bố hôm nay và chia sẻ với The Hacker News trước khi xuất bản, BMC trên các nền tảng Supermicro X9, X10 và X11 sử dụng triển khai không an toàn để xác thực ứng dụng khách và vận chuyển các gói USB giữa máy khách và máy chủ.

USB-Attacks máy chủ Supermicro từ xa qua lỗ hổng BMC

Những điểm yếu này, được liệt kê dưới đây, có thể dễ dàng bị kẻ tấn công từ xa khai thác để vượt qua quá trình xác thực qua dịch vụ phương tiện ảo nghe trên cổng TCP 623 hoặc chặn lưu lượng để khôi phục thông tin BMC được mã hóa yếu hoặc thông tin hoàn toàn không được mã hóa.

  • Xác thực bản rõ
  • Lưu lượng truy cập mạng không được mã hóa
  • Mã hóa yếu
  • Bypass xác thực (chỉ dành cho nền tảng X10 và X11)

Các nhà nghiên cứu giải thích : “Khi được truy cập từ xa, dịch vụ truyền thông ảo cho phép xác thực bản rõ, gửi phần lớn lưu lượng không được mã hóa, sử dụng thuật toán mã hóa yếu cho phần còn lại và dễ bị bỏ qua xác thực” .

“Những vấn đề này cho phép kẻ tấn công dễ dàng truy cập vào máy chủ, bằng cách bắt gói xác thực người dùng hợp pháp, sử dụng thông tin xác thực mặc định và trong một số trường hợp, không có bất kỳ thông tin xác thực nào.”

Sau khi được kết nối, dịch vụ phương tiện ảo bị xâm nhập cho phép kẻ tấn công tương tác với hệ thống máy chủ dưới dạng thiết bị USB thô, cho phép chúng thực hiện mọi thứ có thể được thực hiện với quyền truy cập vật lý vào cổng USB, bao gồm:

  • exfiltment dữ liệu,
  • cấy phần mềm độc hại,
  • Khởi động từ hình ảnh hệ điều hành không tin cậy,
  • thao tác trực tiếp với hệ thống thông qua bàn phím và chuột ảo và
  • vô hiệu hóa hoàn toàn thiết bị.

Theo các nhà nghiên cứu, việc quét cổng TCP 623 trên Internet đã tiết lộ hơn 47.000 BMC từ hơn 90 quốc gia khác nhau với dịch vụ phương tiện ảo phần mềm BMC bị ảnh hưởng có thể truy cập công khai.

Bên cạnh việc khai thác BMC nơi các dịch vụ truyền thông ảo được tiếp xúc trực tiếp trên Internet, những lỗ hổng này cũng có thể bị kẻ tấn công khai thác khi truy cập vào mạng công ty kín hoặc kẻ tấn công trung gian trong các mạng phía khách hàng.

Các nhà nghiên cứu đã báo cáo những phát hiện của họ cho Supermicro vào tháng 6 và tháng 7 năm nay. Công ty đã thừa nhận các vấn đề vào tháng 8 và phát hành công khai bản cập nhật firmware cho các nền tảng X9, X10 và X11 của họ trước ngày 3 tháng 9.

Do đó, các tổ chức được khuyến khích cập nhật firmware BMC của họ càng sớm càng tốt. Hơn nữa, điều quan trọng là phải đảm bảo rằng BMC không bao giờ được tiếp xúc trực tiếp với Internet, vì việc tiếp xúc trực tiếp với Internet làm tăng đáng kể khả năng xảy ra các cuộc tấn công như vậy.

Leave a Reply