Sårbarheter i Supermicros BMC/IPMI

Sårbarheterna finns i BMC:s stöd för virtuell media [1] och påminner oss om vikten av att inte låta servermanageringsverktyg exponeras på internet.

Dessa sårbarheter har fått samlingsnamnet USBAnywhere [2] och handlar om autentisering i klartext, svag kryptering samt sätt att kringå autentisering. En angripare kan utnyttja detta för att montera valfri USB-enhet över nätverk samt även över internet om BMC:n finns tillgänglig där.

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara system snarast samt att undvika publik exponering av verktyget.

Källor

[1] https://www.supermicro.com/support/security_BMC_virtual_media.cfm
[2] https://eclypsium.com/2019/09/03/usbanywhere-bmc-vulnerability-opens-servers-to-remote-attack/