新たな脆弱性は、サーバーの BMC インターフェイスを見直す時期が来たことを意味します

広く使用されているベースボード管理コントローラーで最近発見された 2 つの脆弱性により、リモートおよびローカルの攻撃者がサーバーを完全に制御できるようになる可能性があります。

サーバーのマザーボードに存在するベースボード管理コントローラー (BMC) のファームウェアで長年にわたって見つかったセキュリティ問題の頻度と深刻さは、IT インフラストラクチャのセキュリティにおいて、見落とされがちだが重要な領域であることを浮き彫りにしています。 増え続ける欠陥リストに最近追加されたのは、さまざまなサーバー メーカーが広く使用している「ライトアウト」管理インターフェイスに存在する 2 つの脆弱性です。 これらを組み合わせて悪用すると、リモートおよびローカルの攻撃者が影響を受けるサーバーを低レベルで検出困難なレベルで完全に制御できるようになる可能性があります。

「これらの脆弱性を悪用した影響には、侵害されたサーバーのリモート制御、マルウェア、ランサムウェア、ファームウェアのリモート展開、マザーボード コンポーネント (BMC または潜在的に BIOS/UEFI) の埋め込みまたはブリック、サーバーへの潜在的な物理的損傷 (過電圧 / ファームウェアのブリック)、被害組織が中断できない無期限の再起動ループが発生します」と、ファームウェア セキュリティ会社 Eclypsium の研究者らが最近のレポートで述べています。 「確かに消灯です。」

BMC は、独自のファームウェアとオペレーティング システム、専用のメモリ、電源、およびネットワーク ポートを備えた特殊なマイクロコントローラーです。 これらは、プライマリ オペレーティング システムがシャットダウンされているときのサーバーのアウトオブバンド管理に使用されます。 BMC は基本的にサーバー内で実行される小型のコンピューターであり、管理者がオペレーティング システムの再インストール、応答しなくなったサーバーの再起動、ファームウェアの更新の展開などのメンテナンス タスクをリモートで実行できるようにします。 これは、消灯管理と呼ばれることもあります。

セキュリティ研究者は、BMC 実装と BMC が少なくとも 10 年間使用していた Intelligent Platform Management Interface (IPMI) 仕様のセキュリティ問題について警告してきました。 脆弱性には、ハードコードされた資格情報とユーザー、構成ミス、暗号化が弱いか存在しないこと、バッファ オーバーフローなどのコード バグが含まれます。 これらの管理インターフェイスは隔離されたネットワーク セグメント上で動作するはずですが、長年にわたって数十万ものインターフェイスがインターネットにさらされていることが判明しています。

昨年、研究者らは、APT グループによって開発された可能性が高く、HPE iLO (HPE の Integrated Lights-Out) BMC の脆弱性を利用して、Hewlett Packard Enterprise (HPE) Gen8 および Gen9 サーバーに導入されていた iLOBleed と呼ばれる悪意のあるインプラントを発見しました。 2018年。

2018 年、攻撃者は、デフォルトの管理者資格情報を使用する安全でない IPMI インターフェイスを利用して、JungleSec と呼ばれるランサムウェア プログラムを Linux サーバーに展開したと報告されています。 2016 年、Microsoft は、PLATINUM と呼ばれる APT グループが Intel の Active Management Technology (AMT) Serial-over-LAN (SOL) 機能を悪用して、ファイルを転送するための秘密の通信チャネルをセットアップしたと報告しました。 AMT は、Intel のマネジメント エンジン (Intel ME) のコンポーネントであり、Intel のほとんどのデスクトップおよびサーバー CPU に存在する BMC のようなソリューションです。

Eclypsium 研究者は、BIOS/UEFI および BMC ファームウェアの世界最大のサプライヤーである American Megatrends (AMI) によって開発された BMC ファームウェア実装である MegaRAC に 2 つの新しい脆弱性を発見し、公開しました。 一部の製品で AMI MegaRAC を長期間使用してきたサーバー メーカーには、AMD、Ampere Computing、ASRock、Asus、ARM、Dell EMC、Gigabyte、Hewlett-Packard Enterprise、Huawei、Inspur、Lenovo、NVidia、Qualcomm、Quanta、およびティアン。

Eclypsium が BMC の脆弱性を発見したのはこれが初めてではありません。 同社は 2022 年 12 月に、AMI MegaRAC で特定した他の 5 つの脆弱性を明らかにしました。そのうちのいくつかは、Redfish API を介して任意のコードの実行を許可したり、ハードコードされたパスワードにより特権アカウントへの SSH アクセスを提供したりするものでした。

2 つの新しい脆弱性は Redfish 管理インターフェイスにも存在します。 Redfish は、古い IPMI を置き換えるために開発された帯域外管理用の標準化されたインターフェイスです。