Forscher haben Schwachstellen in der Virtual Media-Funktion von Supermicro identifiziert. BMC/IPMI Virtual Media ist eine Funktion der Virtual Console, mit der Benutzer ein CD/DVD-Image als virtuelles CD/DVD-Laufwerk an den Server anhängen können. Zu diesen Schwachstellen gehören die Authentifizierung im Klartext, schwache Verschlüsselung und die Umgehung der Authentifizierung innerhalb der Virtual Media-Funktionen. Die Schwachstellen wurden von Forschern im Labor identifiziert und sind in einer Kundenumgebung noch nicht gemeldet worden.
Wir möchten dem Eclypsium-Team dafür danken, dass es uns auf dieses Problem aufmerksam gemacht und bei der Validierung der Abhilfemaßnahmen mitgearbeitet hat.
Die branchenweit beste Praxis ist der Betrieb von BMCs in einem isolierten privaten Netzwerk, das nicht mit dem Internet verbunden ist, wodurch die festgestellte Gefährdung zwar verringert, aber nicht beseitigt wird.
Eine weitere mögliche Zwischenlösung ist die Deaktivierung von Virtual Media durch Blockieren von TCP-Port 623 und ein späteres Upgrade auf die neueste Sicherheitslösung für die BMC/IPMI-Firmware. Bitte folgen Sie diesen Anweisungen, um Port TCP 623 zu deaktivieren.
Neue Versionen der BMC-Software beheben diese Sicherheitslücken. Im Folgenden finden Sie Details zu bestimmten Produkten.