Várias vulnerabilidades de segurança foram reveladas no firmware da Interface de Gerenciamento de Plataforma Inteligente (IPMI) para controladores de gerenciamento de placa de base Supermicro (BMCs), que poderiam resultar em escalonamento de privilégios e execução de código malicioso em sistemas afetados.
As sete falhas, rastreadas do CVE-2023-40284 ao CVE-2023-40290, variam em gravidade de Alta para Crítica, de acordo com a Binarly, permitindo a atores não autenticados obterem acesso root ao sistema BMC.
Supermicro lançou uma atualização de firmware BMC para corrigir os bugs.
Os BMCs são processadores especiais em placas-mãe de servidores que suportam gerenciamento remoto, permitindo aos administradores monitorar indicadores de hardware, como temperatura, ajustar a velocidade do ventilador e atualizar o firmware do sistema UEFI.
Além disso, os chips BMC continuam operacionais mesmo que o sistema operacional host esteja offline, tornando-os vetores de ataque lucrativos para implantar malware persistente.
Abaixo está uma breve explicação de cada uma das vulnerabilidades -
CVE-2023-40284, CVE-2023-40287 e CVE-2023-40288 (pontuações CVSS: 9.6) - Três falhas de cross-site scripting (XSS) que permitem que invasores remotos não autenticados executem código JavaScript arbitrário no contexto do usuário BMC logado.
CVE-2023-40285 e CVE-2023-40286 (pontuação CVSS: 8.6) - Duas falhas de cross-site scripting (XSS) que permitem que atacantes remotos não autenticados executem código JavaScript arbitrário no contexto do usuário BMC logado, envenenando cookies do navegador ou armazenamento local.
CVE-2023-40289 (pontuação CVSS: 9.1) - Uma falha de injeção de comando do sistema operacional que permite a execução de código malicioso como um usuário com privilégios administrativos.
CVE-2023-40290 (pontuação CVSS: 8.3) - Uma falha de cross-site scripting (XSS) que permite que invasores remotos não autenticados executem código JavaScript arbitrário no contexto do usuário BMC logado, mas apenas quando se usa o navegador Internet Explorer 11 no Windows.
O CVE-2023-40289 é "crítico porque permite que invasores autenticados obtenham acesso root e comprometam completamente o sistema BMC", disse a Binarly em uma análise técnica publicada esta semana.
"Esse privilégio permite tornar o ataque persistente mesmo enquanto o componente BMC é reiniciado e se mover lateralmente dentro da infraestrutura comprometida, infectando outros endpoints."
As outras seis vulnerabilidades - CVE-2023-40284, CVE-2023-40287 e CVE-2023-40288 em particular - poderiam ser usadas para criar uma conta com privilégios de administrador para o componente do servidor web do software BMC IPMI.
Como resultado, um invasor remoto que procura assumir o controle dos servidores poderia combiná-los com a CVE-2023-40289 para realizar a injeção de comando e alcançar a execução de código.
Em um cenário hipotético, isso poderia ocorrer na forma de enviar um email de phishing com um link armadilhado para o endereço de email do administrador que, quando clicado, aciona a execução do payload XSS.
Atualmente, não há evidências de qualquer exploração maliciosa das vulnerabilidades na natureza, embora a Binarly tenha relatado ter observado mais de 70.000 instâncias de interfaces web Supermicro IPMI expostas à internet no início de outubro de 2023.
"Em primeiro lugar, é possível comprometer remotamente o sistema BMC explorando vulnerabilidades no componente do servidor web exposto à internet", explicou a empresa de segurança de firmware.
"Um invasor pode então ganhar acesso ao sistema operacional do servidor via controle remoto legítimo do iKVM BMC ou ao entrar na UEFI do sistema alvo com firmware malicioso que permite controle persistente do sistema operacional host.
A partir daí, nada impede um invasor de se mover lateralmente dentro da rede interna, comprometendo outros hosts."
No início deste ano, duas falhas de segurança foram reveladas nos BMCs AMI MegaRAC que, se exploradas com sucesso, poderiam permitir que atores de ameaças assumissem o controle remoto de servidores vulneráveis e implementassem malware.
Publicidade
Em 14 de janeiro a Solyd irá revolucionar a forma como pentest e hacking deve ser ensinado. Se inscreva para ser o primeiro a saber das novidades. Saiba mais...