久久精品国产免费-久久精品国产免费高清-久久精品国产免费观看99-久久精品国产免费中文-久久精品国产欧美

企業動態
媒體報道

超微公司的 BMC 固件存在多個高危漏洞,目前并未發現被利用

安全漏洞

超微(Supermicro )底板管理控制器 (BMC) 的智能平臺管理接口 (IPMI) 固件中存在多個安全漏洞,這些漏洞可能導致權限升級,并在受影響的系統上執行惡意代碼。

據Binarly稱,從CVE-2023-40284到CVE-2023-40290,這七個漏洞的危險系數不等,可使未經認證的威脅行為者獲得BMC系統的根權限。超微公司已經發布了 BMC 固件更新,以修復這些漏洞。

BMC 是服務器主板上的特殊處理器,支持遠程管理,使管理員能夠監控溫度、設置風扇速度和更新 UEFI 系統固件等硬件指標。更重要的是,即使主機操作系統離線,BMC 芯片仍可保持運行,這也使它們成為部署持久性惡意軟件的有效載體。

每個漏洞的簡要說明如下:

CVE-2023-40284、CVE-2023-40287 和 CVE-2023-40288 (CVSS 分數:9.6) ,三個跨站點腳本 (XSS) 漏洞,允許未經認證的遠程攻擊者在登錄的 BMC 用戶上下文中執行任意 JavaScript 代碼。

CVE-2023-40285 和 CVE-2023-40286 (CVSS 得分:8.6) ,兩個跨網站腳本 (XSS) 漏洞,允許未經身份驗證的遠程攻擊者通過毒害瀏覽器 cookie 或本地存儲,在登錄的 BMC 用戶的上下文中執行任意 JavaScript 代碼。

CVE-2023-40289 (CVSS 得分:9.1) , 操作系統命令注入漏洞,允許具有管理權限的用戶執行惡意代碼。

CVE-2023-40290(CVSS 得分:8.3),一個跨站點腳本 (XSS) 漏洞,允許未經身份驗證的遠程攻擊者在已登錄 BMC 用戶的上下文中執行任意 JavaScript 代碼,但僅限于在 Windows 上使用 Internet Explorer 11 瀏覽器時。

Binarly在本周發布的一份技術分析報告中稱,CVE-2023-40289 漏洞必須警惕,因為它允許通過驗證的攻擊者獲得root訪問權限并完全控制BMC系統。這種權限允許在 BMC 組件重啟時仍能持續攻擊,并在被入侵的基礎架構內橫向移動,感染其他端點。

其他六個漏洞,特別是CVE-2023-40284、CVE-2023-40287和CVE-2023-40288可用于為BMC IPMI軟件的Web服務器組件創建一個具有管理員權限的賬戶。

因此,攻擊者可以將它們與 CVE-2023-40289 結合起來,執行命令注入并實現代碼執行。攻擊者可能以發送網絡釣魚電子郵件的形式,其中包含指向管理員電子郵件地址的誘殺鏈接,單擊該鏈接時會觸發 XSS 有效負載的執行。

安全隱患

盡管 Binarly 表示在 2023 年 10 月初觀察到超過 70000 個暴露在互聯網上的 Supermicro IPMI 網絡接口實例,但目前還沒有證據表明存在惡意利用這些漏洞的情況。

固件安全公司進一步解釋說:首先,利用暴露在互聯網上的 Web 服務器組件中的漏洞,可以遠程入侵 BMC 系統。然后,攻擊者可以通過合法的 iKVM 遠程控制 BMC 功能訪問服務器的操作系統,或者用惡意固件閃爍目標系統的 UEFI,從而實現對主機操作系統的持久控制。這樣,攻擊者就可以在內部網絡中橫向動,入侵其他主機。

今年早些時候,AMI MegaRAC BMC 的兩個安全漏洞被曝光,如果被成功利用,威脅者可以遠程控制易受攻擊的服務器并部署惡意軟件。

來源:安全圈

?
版權所有:鄭州三中網安科技有限公司 豫ICP備2020036495號-1 ?? 豫公網安備 41019702002241號 | 站點地圖 | 人才招聘 | 聯系我們
主站蜘蛛池模板: 99九九国产精品免费视频 | 日韩中文字幕在线视频 | 在线网站cosplay福利视频 | 欧美不卡网 | 国内视频自拍在线视频 | 亚洲精品一区二区三区r | 国产成人精品免费视频大 | 成年黄大片 | 欧美一级高清毛片aaa | 午夜a视频 | 国产亚洲精品久久久久久久网站 | 国产裸舞凸点福利小视频 | 日本一级黄色毛片 | 国产一级做a爰片久久毛片男 | 久久精品国产久精国产80cm | 1024jd基地手机看国产 | 免费人成网站线观看合集 | 国产精品自在线拍国产 | 免费一级毛片在线视频观看 | 成片免费观看视频在线网 | 精品一区中文字幕 | 精品欧美日韩一区二区 | 成人午夜影院在线观看 | 欧美久操 | 国产大片91精品免费观看男同 | 久久www免费人成看国产片 | 手机看片自拍 | 日本中出视频 | 亚洲国产日韩无在线播放 | 日本性生活片 | 亚洲图片国产日韩欧美 | 啪啪天堂 | 精品无人区一区二区三区a 精品无码一区在线观看 | 亚洲国产片高清在线观看 | 亚洲人成人网毛片在线播放 | 国产一区二区高清视频 | 亚洲精品久久久久福利网站 | 亚洲第五色综合网啪啪 | 中国女人a毛片免费全部播放 | 久久久国产精品免费 | 国产精品果冻 |