.
Imagens Getty
Se a sua organização utiliza servidores equipados com controladores de gerenciamento de base da Supermicro, talvez seja hora, mais uma vez, de corrigir sete vulnerabilidades de alta gravidade que os invasores poderiam explorar para obter controle sobre elas. E desculpe, mas as correções devem ser instaladas manualmente.
Normalmente abreviados como BMCs, os controladores de gerenciamento de placa base são pequenos chips soldados na placa-mãe dos servidores dentro dos data centers. Os administradores contam com esses controladores poderosos para vários recursos de gerenciamento remoto, incluindo instalação de atualizações, monitoramento de temperaturas e configuração adequada das velocidades dos ventiladores, além de atualização do firmware do sistema UEFI que permite que os servidores carreguem seus sistemas operacionais durante as reinicializações. Os BMCs fornecem esses recursos e muito mais, mesmo quando os servidores aos quais estão conectados estão desligados.
Execução de código dentro do BMC? Sim
O potencial de exploração de vulnerabilidades em BMCs e uso para assumir o controle de servidores não foi perdido pelos hackers. Em 2021, hackers exploraram uma vulnerabilidade em BMCs da HP Enterprise e instalaram um rootkit personalizado, relataram naquele ano pesquisadores da Amnpardaz, uma empresa de segurança no Irã. O ILObleed, como os pesquisadores chamaram o rootkit, estava escondido dentro do iLO, um módulo nos BMCs HPE que é a abreviatura de Integrated Lights-Out.
ILObleed foi programado para destruir dados armazenados em disco. Se os administradores reinstalassem o sistema operacional, o iLObleed permaneceria intacto e reativaria repetidamente o ataque de limpeza de disco. Os invasores desconhecidos responsáveis assumiram o controle dos BMCs explorando uma vulnerabilidade que a HPE havia corrigido quatro anos antes. Em junho, a Agência de Segurança Nacional instou os administradores a seguirem as orientações para evitar tais incidentes.
Pesquisadores da empresa de segurança Binarly divulgaram na terça-feira sete vulnerabilidades de alta gravidade no firmware IPMI (Intelligent Platform Management Interface) para BMCs mais antigos da Supermicro. A Supermicro disse em um comunicado que as vulnerabilidades afetam “placas-mãe selecionadas X11, H11, B11, CMM, M11 e H12”. A consultoria também agradeceu à Binarly e forneceu informações sobre patches. Não há maneira automatizada de instalar as atualizações. A Supermicro disse que não tem conhecimento de qualquer exploração maliciosa das vulnerabilidades existentes.
Uma das sete vulnerabilidades, rastreada como CVE-2023-40289, permite a execução de código malicioso dentro do BMC, mas há um problema: explorar a falha requer privilégios administrativos já obtidos na interface web usada para configurar e controlar os BMCs. É aí que entram as seis vulnerabilidades restantes. Todas as seis permitem ataques de script entre sites, ou XSS, em máquinas usadas por administradores. O cenário de exploração é usar um ou mais deles em combinação com CVE-2023-40289.
Em um e-mail, o fundador e CEO da Binarly, Alex Matrosov, escreveu:
A exploração desta vulnerabilidade requer privilégios administrativos já obtidos na BMC Web Interface. Para conseguir isso, um invasor em potencial pode utilizar qualquer uma das vulnerabilidades XSS que encontramos. Nesse caso, o caminho de exploração será semelhante a este cenário potencial:
Primeiro, um invasor prepara um link malicioso com a carga maliciosa
2. inclui-o em e-mails de phishing (por exemplo)
3. quando este clique for aberto, a carga maliciosa será executada dentro do BMC OS.
Os administradores podem se comunicar remotamente com os BMCs da Supermicro por meio de vários protocolos, incluindo SSH, IPMI, SNMP, WSMAN e HTTP/HTTPS. As vulnerabilidades descobertas binariamente podem ser exploradas usando HTTP. Embora a NSA e muitos outros profissionais de segurança insistam fortemente que as interfaces BMC sejam isoladas da Internet, há evidências de que este conselho é rotineiramente ignorado. Uma consulta recente ao mecanismo de busca Shodan revelou mais de 70.000 instâncias do Supermicro BMC que têm sua interface web IPMI disponível publicamente.
O roteiro para explorar as vulnerabilidades contra servidores com interfaces Supermicro expostas desta forma é ilustrado abaixo:
Na postagem de terça-feira, os pesquisadores da Binarly escreveram:
Primeiro, é possível comprometer remotamente o sistema BMC explorando vulnerabilidades no componente do servidor Web exposto à Internet. Um invasor pode então obter acesso ao sistema operacional do servidor por meio da funcionalidade BMC de controle remoto iKVM legítimo ou atualizando o UEFI do sistema de destino com firmware malicioso que permite o controle persistente do sistema operacional host. A partir daí, nada impede que um invasor se mova lateralmente dentro da rede interna, comprometendo outros hosts internos.
Todas as vulnerabilidades descobertas binarmente se originam no firmware IPMI, desenvolvedor terceirizado ATEN, desenvolvido para a Supermicro. Embora a ATEN tenha corrigido o CVE-2023-40289 há seis meses, a correção nunca chegou ao firmware.
“Este é um problema da cadeia de suprimentos porque outros fornecedores de BMC podem ser potencialmente afetados por essas vulnerabilidades”, escreveu Matrosov.
.
