The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

07.11.2013 11:42  Семь уязвимостей в IPMI-прошивках Supermicro

Разработчики проекта Metasploit раскрыли данные о семи уязвимостях в IPMI-прошивках серверных продуктов Supermicro и опубликовали прототипы эксплоитов. Проблемы остаются неисправленными, несмотря на то, что приватное уведомление об их наличии было отправлено сотрудникам Supermicro три месяца назад.

Среди уязвимостей:

  • Использование присутствующих в прошивке статически сгенерированных ключей шифрования, используемых в SSL и Dropbear SSH;
  • Наличие преднастроенного скрытого аккаунта для входа в интерфейс WSMan, который может восприниматься как бэкдор. Примечательно, что администратор при помощи штатного интерфейса не может поменять пароль для данного аккаунта;
  • Два переполнения буфера в скрипте организации входа в систему (login.cgi), позволяющие организовать выполнение кода через манипуляции со значениями полей имени и пароля пользователя;
  • Переполнение буфера в скрипте close_window.cgi, запускаемым без аутентификации. Уязвимость проявляется при передаче специально оформленного идентификатора сессии;
  • Многочисленные уязвимости в скриптах (в том числе logout.cgi, url_redirect.cgi), доступных только после прохождения аутентификации.

IPMI (Intelligent Platform Management Interface) представляет собой доступный по сети независимый интерфейс для мониторинга и управления оборудованием, позволяющий отслеживать состояние датчиков, управлять питанием и выполнять другие операции с оборудованием. Сканирование Сети выявило около 35 тысяч уязвимых систем Supermicro с доступным для внешних запросов интерфейсом IPMI.

  1. Главная ссылка к новости (http://threatpost.com/seven-ip...)
  2. OpenNews: Проблемы с безопасностью серверов с IPMI. Бэкдор в системах хранения HP
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: ipmi, supermicro
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, G.NercY.uR (?), 12:04, 07/11/2013 [ответить] [показать ветку] [···]    [к модератору]
  • +8 +/
    Ну метасплойтовцы! Это же не уязвимости, это необходимые сильным мира сего возможности!
     
     
  • 2.18, Аноним (-), 14:21, 07/11/2013 [^] [ответить]    [к модератору]
  • +/
    А вот кто хочет телефон? http://www.ixbt.com/news/hard/index.shtml?17/34/46 - ваш персональный шпион и хакеры - в вашем телефоне. Теперь официально!
     
     
  • 3.27, linux must __RIP__ (?), 19:14, 07/11/2013 [^] [ответить]    [к модератору]
  • –1 +/
    открыли америку.. в samsung и lg - такое есть уже давно.
     
     
  • 4.40, Аноним (-), 16:00, 08/11/2013 [^] [ответить]    [к модератору]
  • +/
    > открыли америку.. в samsung и lg - такое есть уже давно.

    Пруф?

     
  • 1.2, Аноним (-), 12:05, 07/11/2013 [ответить] [показать ветку] [···]    [к модератору]
  • +6 +/
    в принципе, если нормальные админы ипми держат в отдельном влане, настраивают аксесс листы правильно на маршрутизаторах, то даже и не страшно.
     
     
  • 2.14, Аноним (-), 14:14, 07/11/2013 [^] [ответить]    [к модератору]  
  • –1 +/
    Да, слой бинта, гипс, еще слой бинта, еще гипс, и самое главное - никакого секса^W ipmi.
     
  • 1.3, Аноним (-), 12:11, 07/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • +3 +/
    >>доступным для внешних запросов интерфейсом IPMI

    Я плакал

     
     
  • 2.4, YetAnotherOnanym (ok), 12:16, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    да ещё почти в четыре раза больше, чем 9000!
     
  • 2.5, asavah (ok), 12:24, 07/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Я тоже, это ж мля додуматься надо выставить IPMI наружу с голой жопой.
    management vlan закрытый по самое немогу? - Не, не слышали.
     
     
  • 3.6, KT315 (ok), 13:03, 07/11/2013 [^] [ответить]     [к модератору]  
  • –2 +/
    Ну если сервер в Local Area - то это не проблема А что делать, если ты тут, а с... весь текст скрыт [показать]
     
     
  • 4.8, nbw (ok), 13:15, 07/11/2013 [^] [ответить]    [к модератору]  
  • +9 +/
    > А что делать, если ты тут, а сервер в Германии?

    Для предоставления доступа к административным сетям когда-то придумали VPN (OpenVPN, например).

    В любом случае, к таким интерфейсам (не только IPMI, вообще админки всяческих железок) не должно быть свободного доступа из публичных сетей. Кто этого не понимает - ССЗБ.


     
     
  • 5.13, KT315 (ok), 14:12, 07/11/2013 [^] [ответить]     [к модератору]  
  • –1 +/
    И вот, уже нужно ставить еще одну железку money , только с VPN, что не исключа... весь текст скрыт [показать]
     
     
  • 6.15, Аноним (-), 14:16, 07/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Оно не просто так реализовано Там откровенно впихан левый административный бэкд... весь текст скрыт [показать]
     
  • 6.35, nbw (ok), 09:33, 08/11/2013 [^] [ответить]     [к модератору]  
  • –1 +/
    Ox-ox, какой ужас, PIII RAID1 из двух древних сигейтов - это так дорого Ман... весь текст скрыт [показать]
     
     
  • 7.41, Аноним (-), 16:01, 08/11/2013 [^] [ответить]     [к модератору]  
  • +1 +/
    Это будет дорого, 1 Потому что место в ДЦ придется оплатить 2 Когда у этого ... весь текст скрыт [показать]
     
     
  • 8.51, nbw (ok), 19:47, 08/11/2013 [^] [ответить]     [к модератору]  
  • –1 +/
    ok Пусть это будет виртуалка на 128 MB RAM См выше Когда на мамке незарезерв... весь текст скрыт [показать]
     
     
  • 9.54, XoRe (ok), 23:39, 08/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Виртуальные кондёры you made my day ... весь текст скрыт [показать]
     
     
  • 10.57, nbw (ok), 15:44, 09/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > Виртуальные кондёры! you made my day :)

    Virtual host, в отличие от virtual guest'а, вполне себе материален. И кондёры в ём есть. Петросянчик ^^


     
     
  • 11.58, XoRe (ok), 23:50, 09/11/2013 [^] [ответить]     [к модератору]  
  • +/
    А, вы про это Да, если не самосборный кустарный, то обычно резервировано... весь текст скрыт [показать]
     
  • 7.59, zero (??), 12:15, 20/06/2014 [^] [ответить]    [к модератору]  
  • +/
    > Ox-ox, какой ужас, PIII + RAID1 из двух древних сигейтов

    и кто же даст такой хлам поставить в ДЦ???? Где у тебя один из 10тыс. серверов в стойке?

     
     
  • 8.60, nbw (ok), 16:23, 24/06/2014 [^] [ответить]    [к модератору]  
  • +/
    >> Ox-ox, какой ужас, PIII + RAID1 из двух древних сигейтов

    Привет, некропостер! Ну поставь 1U-железку с вэпээном, если третьепень с сигейтами не нравится.

     
  • 4.31, YetAnotherOnanym (ok), 23:19, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > А что делать, если ты тут, а сервер в Германии?

    <trollmode>Не держать свои сервера в Германии</trollmode>
    Выбирать нормального хостера, который даёт VPN до IPMI-интерфейса.

     
     
  • 5.42, Аноним (-), 16:03, 08/11/2013 [^] [ответить]     [к модератору]  
  • +1 +/
    В Германии сервера по крайней мере не изымают по звонку товарищ-майоров, знаете ... весь текст скрыт [показать]
     
     
  • 6.52, nbw (ok), 19:52, 08/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Некто Эдик Сноуден весело смеётся над твоей наивностью, и спецслужбы ФРГ ему под... весь текст скрыт [показать]
     
  • 2.49, кцу (?), 16:53, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    Dedicated-хостинги. Например - timeweb. У них ipmi торчит наружу для всех.
     
  • 1.7, commiethebeastie (ok), 13:10, 07/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • +2 +/
    Coreboot не нужен, мы предпочитаем надежные энтерпрайзные решения.
     
     
  • 2.9, Аноним (9), 13:38, 07/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Cкажите вы точно понимаете о чем новость ?
     
     
  • 3.10, commiethebeastie (ok), 13:42, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    Точно понимаю, в coreboot пилят прошивки для ВСЕХ компонентов ПК, а не только замену биоса.
     
     
  • 4.11, Аноним (9), 13:58, 07/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Буду очень благодарен если вы укажете мне где именно в coreboot находятся исходники прошивок для BMC.
     
     
  • 5.12, commiethebeastie (ok), 13:59, 07/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Никому же нинужно, ынтерпрайз надежнее, вот не делают. Хотя например для тех же super i/o делают, хоть это и не сам coreboot.
     
     
  • 6.17, Аноним (-), 14:18, 07/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Пардон Super I O это довольно дубовый автомат У него нет никаких прошивок Б... весь текст скрыт [показать]
     
     
  • 7.20, commiethebeastie (ok), 14:51, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    http://www.coreboot.org/Embedded_controller
     
     
  • 8.21, Аноним (9), 15:07, 07/11/2013 [^] [ответить]    [к модератору]  
  • –2 +/
    Это не BMC.
     
     
  • 9.25, Аноним (-), 18:24, 07/11/2013 [^] [ответить]    [к модератору]  
  • –1 +/
    > Это не BMC.

    Вполне себе видел мамки где один и тот же процик и по сети ремотное управление делает и вентиляторам обороты регулирует. ME firmware на интеловской мамке. Внезапно, правда? :)

     
     
  • 10.32, Аноним (32), 23:43, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    И что ? Какое это имеет отношение к данной новости ?
     
     
  • 11.43, Аноним (-), 16:04, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > И что ? Какое это имеет отношение к данной новости ?

    Такое что там тоже может быть бэкдор при малейшем желании интеля.

     
  • 8.24, Аноним (-), 18:23, 07/11/2013 [^] [ответить]     [к модератору]  
  • +1 +/
    Простите, EC он же зачастую и BMC - это таки не SuperIO SuperIO - это как пра... весь текст скрыт [показать]
     
  • 1.16, Аноним (-), 14:17, 07/11/2013 [ответить] [показать ветку] [···]     [к модератору]  
  • +1 +/
    Кстати да, IPMI у Supermicro не часто обновляется если вообще обновляется Прост... весь текст скрыт [показать]
     
     
  • 2.19, Аноним (-), 14:22, 07/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > интерфейс у них и так страшный так что нахождение там ошибок
    > ни чуть не увиляет

    Зато обнаружение бэкдора - несомненно радует любителей проприетарщины.

     
     
  • 3.22, Аноним (-), 15:27, 07/11/2013 [^] [ответить]     [к модератору]  
  • –1 +/
    Закладки в аппаратной части тоже ни кто не отменял Так что тот факт, что у вас ... весь текст скрыт [показать]
     
     
  • 4.23, sfstudio (ok), 17:06, 07/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Повышенной относительно чего? Относительно дырявой проприретари с закладками на том же железе с закладками??? Ещё как показатель. =)
     
  • 4.26, Аноним (-), 18:26, 07/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Это еще почему Как минимум административный логин по типу AWARD_SW у супермикры... весь текст скрыт [показать]
     
     
  • 5.28, linux must __RIP__ (?), 19:18, 07/11/2013 [^] [ответить]    [к модератору]  
  • –2 +/
    >> факт, что у вас открытое ПО еще не показатель повышенной безопасности. )
    > Это еще почему? Как минимум административный логин по типу AWARD_SW у супермикры
    > очень даже отвалится. А сильно сложную логику в железо, в отличие
    > от софта, не запихнешь.

    мисье вы о VHDL, AHDL, Verilog слышали? вот на VHDL делают целый 8051 на базе PLD... это называется сложную логику в железо не запихать? да еще и перепрограммуремую в Altera APEX (к примеру)..

     
     
  • 6.44, Аноним (-), 16:12, 08/11/2013 [^] [ответить]     [к модератору]  
  • +/
    На их основе и более сложные вещи прототипируют Тем не менее, процессор как так... весь текст скрыт [показать]
     
  • 2.29, Аноним (-), 19:33, 07/11/2013 [^] [ответить]     [к модератору]  
  • –2 +/
    Ни хочу никогда обидеть Но открытость ПО еще не гарантирует того что данное ПО ... весь текст скрыт [показать]
     
     
  • 3.30, Анон42 (?), 22:08, 07/11/2013 [^] [ответить]    [к модератору]  
  • +2 +/
    > Но открытость ПО еще не гарантирует

    У нормальных людей Гарантирует!:)

     
     
  • 4.38, анон (?), 12:19, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    Если это не толстый троллинг, то гарантировать ничто не может, кроме случая собственноручной реализации как аппаратной, так и программной (что проще, в случае с СПО) части и то, сложность систем, способных на большее чем "Hello world", не дает права гарантировать, что в ПО и железе нет пусть не "закладок", а хотя бы, скажем так, "непредусмотренного поведения". Наличие таких "возможностей" не исключает их применения при взломе подобных систем. А те, кто думает, что безопасность можно гарантировать какими либо способами, те ССЗБ. Безопасность можно только повысить до какого-то уровня, обычно исходя из предполагаемых убытков в случае взлома.
     
     
  • 5.53, Анон42 (?), 21:41, 08/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    Ok. Я процитирую ваше предложение полностью:)
    > Но открытость ПО еще не гарантирует того что данное ПО безопаснее чем закрытое.

    Отсюда следует, что "если ПО идентично по кодовой базе, но один вариант имеет открытые исходники, а другой таковых не имеет, то первый вариант, с точки зрения обеспечения безопасности предпочтительней, а соответственно "гарантирует, что он более безопасен". Корректность формулировки последней цитаты, с точки зрения русского языка, можно опустить.:)

     
     
  • 6.56, анон (?), 23:55, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    1. Вы банально приписали мне авторство высказывания другого человека.
    2. Не поняли смысла написанного мной.
    3. Не понимаете смысла слова "гарантирует".
    4. Неправильно понимаете характер взаимосвязи между открытостью и безопасностью.
     
  • 3.45, Аноним (-), 16:20, 08/11/2013 [^] [ответить]     [к модератору]  
  • +/
    Оно гарантирует что изначальные намерения - честные А то что баги бывают в любы... весь текст скрыт [показать]
     
     
  • 4.50, анон (?), 19:20, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    И откуда сведения о площади кристалла на 1 бэкдор? Не стоит исключать и (внезапно) прошивку в "железе", принимаемую за функции логики кристалла.
     
  • 3.55, XoRe (ok), 23:49, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > Ни хочу никогда обидеть. Но открытость ПО еще не гарантирует того что
    > данное ПО безопаснее чем закрытое.

    Не гарантирует, но шансы повышает на порядки.
    На самом деле, можно сколько угодно спорить "я думаю, вот так. А я думаю, так".
    Но мы же взрослые люди, можно вытащить и померить :)
    Т.е. посмотреть статистику атак и взломов на те или иные системы.
    Вопросы отпадут сами собой.
    Ну и у открытого ПО скорость фиксов обычно выше (тоже можно поднять статитику).

     
  • 1.33, odeskby (ok), 00:49, 08/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    так это еще не везде собака порылась, они только как кидис cgi интерфейс долбили

    " Note that this assessment did not include the actual IPMI network services and was primarily focused on default keys, credentials, and the web management interface."

    неприятно у мну 50 узлов со встроенным в порты функционалом

     
     
  • 2.46, Аноним (-), 16:22, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    > неприятно у мну 50 узлов со встроенным в порты функционалом

    Ждите гостей из группы Anonymous и АНБ.

     
     
  • 3.48, odeskby (ok), 16:35, 08/11/2013 [^] [ответить]    [к модератору]  
  • +/
    >> неприятно у мну 50 узлов со встроенным в порты функционалом
    > Ждите гостей из группы Anonymous и АНБ.

    Ну не все так страшно - это вычислительные блейды. И я их контролирую через цудовный жавский инструмент ... но порты все равно светят. Видна-жава парни обертки для http/s хорошо пишут .... Считают они вообщем хорошо ....Больше беспокоят BMC карточки от интел.

     
  • 1.34, Аноним (-), 04:00, 08/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • –1 +/
    Испокон веков было известно какой мусор выпускает supermicro.
     
  • 1.36, тигар (ok), 10:27, 08/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • –2 +/
    dedicated ipmi порт + отдельный свищ, например. ну или vlan. зачем ЭТО выставлять в интернетики?
     
     
  • 2.47, Аноним (-), 16:23, 08/11/2013 [^] [ответить]    [к модератору]  
  • +1 +/
    > dedicated ipmi порт + отдельный свищ, например. ну или vlan. зачем ЭТО
    > выставлять в интернетики?

    Ты уже слой гипса на свой ... штекер эзернета наложил? :)

     
  • 1.37, Нанобот (ok), 10:41, 08/11/2013 [ответить] [показать ветку] [···]    [к модератору]  
  • –2 +/
    так а какой логин/пароль у скрытого аккаунта?
     
     
  • 2.39, Нанобот (ok), 15:25, 08/11/2013 [^] [ответить]    [к модератору]  
  • –1 +/
    # cat /mnt/1/wsman/openwsman/etc/openwsman/digest_auth.passwd
    wsman:OPENWSMAN:5a659df1ac36d2f4eb84092145532919

    это оно?

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor