Ένα ελάττωμα σχεδόν 6 ετών στον διακομιστή web Lighttpd που χρησιμοποιείται στους Baseboard Management Controllers (BMC), έχει παραβλεφθεί από πολλούς προμηθευτές συσκευών, συμπεριλαμβανομένων των Intel και Lenovo.
Δείτε επίσης: Microsoft-Intel: Deal δισεκατομμυρίων για επεξεργαστή
Το ζήτημα ασφαλείας θα μπορούσε να οδηγήσει στην εξάλειψη των διευθύνσεων μνήμης διεργασιών, κάτι που θα μπορούσε να βοηθήσει τους επιτιθέμενους να παρακάμψουν μηχανισμούς προστασίας όπως το Address Space Layout Randomization (ASLR).
Ο Lighttpd είναι ένας διακομιστής ιστού ανοιχτού κώδικα που είναι γνωστός ως ελαφρύς, γρήγορος και αποτελεσματικός, καθιστώντας τον ιδανικό για ιστότοπους υψηλής επισκεψιμότητας, ενώ καταναλώνει ελάχιστους πόρους συστήματος.
Κατά τη διάρκεια πρόσφατων σαρώσεων των Baseboard Management Controllers (BMC), ερευνητές της εταιρείας ασφαλείας υλικολογισμικού Binarly ανακάλυψαν ένα ελάττωμα ανάγνωσης απομακρυσμένης εκμετάλλευσης heap out-of-bounds (OOB) μέσω του διακομιστή web Lighttpd, που επεξεργάζεται τις «folded» κεφαλίδες αιτημάτων HTTP.
Αν και το θέμα ευπάθειας αναφέρθηκε τον Αύγουστο του 2018, οι συντηρητές του Lighthttpd το επιδιόρθωσαν αθόρυβα στην έκδοση 1.4.51, χωρίς να εκχωρήσουν αναγνωριστικό παρακολούθησης (CVE).
Αυτό οδήγησε τους προγραμματιστές του AMI MegaRAC BMC να χάσουν την επιδιόρθωση και να μην την ενσωματώσουν στο προϊόν, οπότε το ελάττωμα κατέκλυσε έτσι την αλυσίδα εφοδιασμού στους προμηθευτές συστημάτων και στους πελάτες τους.
Δείτε ακόμα: Intel: Οι επεξεργαστές Arrow Lake και Lunar Lake θα κυκλοφορήσουν στο δεύτερο εξάμηνο του 2024
Οι BMC είναι μικροελεγκτές ενσωματωμένοι σε μητρικές πλακέτες ποιότητας διακομιστή, συμπεριλαμβανομένων συστημάτων που χρησιμοποιούνται σε κέντρα δεδομένων και περιβάλλοντα cloud, που επιτρέπουν την απομακρυσμένη διαχείριση, την επανεκκίνηση, την παρακολούθηση και την ενημέρωση υλικολογισμικού στη συσκευή.
Το Binarly διαπίστωσε ότι η AMI απέτυχε να εφαρμόσει την επιδιόρθωση Lighttpd από το 2019 έως το 2023, οδηγώντας στην κυκλοφορία μεγάλου αριθμού συσκευών ευάλωτων στο εξ αποστάσεως εκμεταλλεύσιμο σφάλμα όλα αυτά τα χρόνια.
Οι αναλυτές απειλών εκχώρησαν τρία εσωτερικά αναγνωριστικά στo ελάττωμα BMC με βάση τον αντίκτυπό της σε διαφορετικούς προμηθευτές και συσκευές:
- BRLY-2024-002: Συγκεκριμένη ευπάθεια στην έκδοση Lighttpd 1.4.45 που χρησιμοποιείται στην έκδοση υλικολογισμικού της σειράς M70KLP της Intel 01.04.0030 (πιο πρόσφατη), επηρεάζοντας ορισμένα μοντέλα διακομιστών Intel.
- BRLY-2024-003: Συγκεκριμένη ευπάθεια στην έκδοση Lighttpd 1.4.35 στην έκδοση υλικολογισμικού Lenovo BMC 2.88.58 (πιο πρόσφατη) που χρησιμοποιείται στα μοντέλα διακομιστών Lenovo HX3710, HX3710-F και HX2710-E.
- BRLY-2024-004: Γενική ευπάθεια σε εκδόσεις διακομιστή web Lighttpd πριν από την 1.4.51, που επιτρέπει την ανάγνωση ευαίσθητων δεδομένων από τη μνήμη διεργασιών του διακομιστή.
Μεταξύ των προμηθευτών με επηρεαζόμενες συσκευές από το ελάττωμα BMC είναι η Intel και η Lenovo, οι οποίοι ειδοποίήθηκαν από την Binarly για το πρόβλημα στις συσκευές τους. Η εταιρεία ασφάλειας υλικολογισμικού σημειώνει ότι ορισμένα συστήματα Intel που κυκλοφόρησαν μόλις στις 22 Φεβρουαρίου 2023 περιλαμβάνουν το ευάλωτο στοιχείο.
Δείτε επίσης: Μια ματιά στον Intel Core Ultra 7 155H και το Asus Zenbook OLED
Ωστόσο, και οι δύο προμηθευτές δήλωσαν ότι τα επηρεαζόμενα μοντέλα είχαν φτάσει στο τέλος του κύκλου ζωής τους (EOL) και δεν λαμβάνουν πλέον ενημερώσεις ασφαλείας, πράγμα που σημαίνει ότι πιθανότατα θα παραμείνουν ευάλωτα στο ελάττωμα BMC μέχρι να παροπλιστούν.
Πηγή: bleepingcomputer
