Forscher haben Schwachstellen in der Virtual-Media-Funktion von Supermicro BMCs identifiziert. BMC/IPMI Virtual Media ist eine Funktion der virtuellen Konsole, die es Benutzern ermöglicht, ein CD/DVD-Image als virtuelles CD/DVD-Laufwerk an den Server anzuhängen. Diese Schwachstellen umfassen Klartext-Authentifizierung, schwache Verschlüsselung und Authentifizierungs-Bypass innerhalb der Virtual-Media-Funktionen. Die von Forschern im Labor identifizierten Schwachstellen wurden bisher nicht in einer Kundenumgebung gemeldet.
Wir möchten dem Eclypsium-Team dafür danken, dass es uns auf dieses Problem aufmerksam gemacht und bei der Validierung der Abhilfemaßnahmen mitgearbeitet hat.
Die branchenweit beste Praxis ist der Betrieb von BMCs in einem isolierten privaten Netzwerk, das nicht mit dem Internet verbunden ist, wodurch die festgestellte Gefährdung zwar verringert, aber nicht beseitigt wird.
Eine weitere mögliche Zwischenlösung ist die Deaktivierung von Virtual Media durch Blockieren von TCP-Port 623 und ein späteres Upgrade auf die neueste Sicherheitslösung für die BMC/IPMI-Firmware. Bitte folgen Sie diesen Anweisungen, um Port TCP 623 zu deaktivieren.
Neue Versionen der BMC-Software beheben diese Sicherheitslücken. Im Folgenden finden Sie Details zu bestimmten Produkten.