Uma vulnerabilidade de segurança crítica foi revelada no software MegaRAC Baseboard Management Controller (BMC) da AMI, que poderia permitir a um atacante burlar a autenticação e realizar ações pós-exploração.
A vulnerabilidade, registrada como
CVE-2024-54085
, recebeu uma pontuação CVSS v4 de 10.0, indicando severidade máxima.
"Um atacante local ou remoto pode explorar a vulnerabilidade acessando as interfaces de gerenciamento remoto (Redfish) ou a interface interna do host para o BMC (Redfish)", disse a empresa de segurança de firmware Eclypsium em um relatório compartilhado .
A exploração desta vulnerabilidade permite a um atacante controlar remotamente o servidor comprometido, implantar malware, ransomware, adulteração de firmware, danificação de componentes da placa-mãe (BMC ou potencialmente BIOS/UEFI), dano físico potencial ao servidor (sobretensão/danificação), e loops de reinicialização indefinidos que a vítima não pode interromper.
A vulnerabilidade pode ainda ser armamentizada para realizar ataques disruptivos, fazendo com que dispositivos suscetíveis reiniciem continuamente ao enviar comandos maliciosos.
Isso poderia abrir caminho para um tempo de inatividade indefinido até que os dispositivos sejam reconfigurados.
O
CVE-2024-54085
é o mais recente em uma longa lista de falhas de segurança que foram descobertas nos BMCs da AMI MegaRAC desde dezembro de 2022.
Elas têm sido coletivamente rastreadas como BMC&C :
CVE-2022-40259
- Execução Arbitrária de Código via API Redfish
CVE-2022-40242
- Credenciais padrão para shell de UID = 0 via SSH
CVE-2022-2827
- Enumeração de usuários via API
CVE-2022-26872
- Interceptação de redefinição de senha via API
CVE-2022-40258
- Hashes de senha fracos para Redfish & API
CVE-2023-34329
- Bypass de Autenticação via Spoofing de Cabeçalho HTTP
CVE-2023-34330
- Injeção de Código via interface de Extensão Redfish Dinâmica
A Eclypsium observou que o
CVE-2024-54085
é semelhante ao
CVE-2023-34329
, pois permite um bypass de autenticação com impacto similar.
A vulnerabilidade foi confirmada por afetar os dispositivos abaixo:
HPE Cray XD670
Asus RS720A-E11-RS24U
ASRockRack
A AMI lançou patches para corrigir a falha em 11 de março de 2025.
Embora não haja evidências de que o problema tenha sido explorado em ambiente real, é essencial que os usuários finais atualizem seus sistemas assim que os fornecedores OEM incorporarem essas correções e as disponibilizarem para seus clientes.
HPE e Lenovo já lançaram atualizações de segurança para seus produtos que integram a correção da AMI para o
CVE-2024-54085
.
"Observe que corrigir essas vulnerabilidades é um exercício não trivial, exigindo tempo de inatividade do dispositivo", disse a Eclypsium.
A vulnerabilidade afeta apenas a pilha de software BMC da AMI.
No entanto, como a AMI está no topo da cadeia de fornecimento de BIOS, o impacto a jusante afeta mais de uma dúzia de fabricantes.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...