Forscher haben Schwachstellen in der Virtual Media Funktion von Supermicro BMCs identifiziert. BMC/IPMI Virtual Media ist eine Funktion der Virtual Console, die es Benutzern ermöglicht, ein CD/DVD-Image als virtuelles CD/DVD-Laufwerk an den Server anzuhängen. Diese Schwachstellen umfassen Klartext-Authentifizierung, schwache Verschlüsselung und Umgehung der Authentifizierung innerhalb der Virtual Media-Funktionen. Die Schwachstellen wurden von Forschern im Labor identifiziert und wurden nicht in einer Kundenumgebung gemeldet.
Wir möchten dem Eclypsium-Team dafür danken, dass es uns auf dieses Problem aufmerksam gemacht und bei der Validierung der Abhilfemaßnahmen mitgearbeitet hat.
Die branchenweit beste Praxis ist der Betrieb von BMCs in einem isolierten privaten Netzwerk, das nicht mit dem Internet verbunden ist, wodurch die festgestellte Gefährdung zwar verringert, aber nicht beseitigt wird.
Eine weitere mögliche Zwischenlösung ist die Deaktivierung von Virtual Media durch Blockieren von TCP-Port 623 und ein späteres Upgrade auf die neueste Sicherheitslösung für die BMC/IPMI-Firmware. Bitte folgen Sie diesen Anweisungen, um Port TCP 623 zu deaktivieren.
Neue Versionen der BMC-Software beheben diese Sicherheitslücken. Im Folgenden finden Sie Details zu bestimmten Produkten.