เมนู

พบ!! ช่องโหว่ 3 รายการบน AMI MegaRAC

2022-12-AMI-Servers

ส่งผลกระทบต่อผู้ผลิต AMD, Ampere Computing, ASRock, Asus, ARM, Dell EMC, Gigabyte, Hewlett-Packard Enterprise, Huawei, Inspur, Lenovo, Nvidia, Qualcomm, Quanta, และ Tyan

8 ธันวาคม 2565

ผู้เชี่ยวชาญจาก Eclypsium พบช่องโหว่ 3 รายการในซอฟต์แวร์ American Megatrends MegaRAC Baseboard Management Controller (BMC) ในเดือนสิงหาคมที่ผ่านมา ซึ่งส่งกระทบต่ออุปกรณ์เซิร์ฟเวอร์ทั้งแบบ On-Cloud และ On-Premise ส่งผลให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตราย รวมถึง bypass การตรวจสอบสิทธิ์การใช้งาน และตรวจสอบจำนวนผู้เข้าใช้งานได้

จากเหตุการณ์ที่เกิดขึ้นส่งผลกระทบต่อผู้ผลิตเซิร์ฟเวอร์อย่างน้อย 15 ราย ได้แก่

AMD, Ampere Computing, ASRock, Asus, ARM, Dell EMC, Gigabyte, Hewlett-Packard Enterprise, Huawei, Inspur, Lenovo, Nvidia, Qualcomm, Quanta และ Tyan

สำหรับรายละเอียดแต่ละช่องโหว่มีดังนี้

  • CVE-2022-40259 (CVSS v3.1: 9.9 “critical”) เป็นช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถรันคำสั่งที่ต้องการผ่านทาง Redfish API ได้
  • CVE-2022-40242 (CVSS v3.1: 8.3) เกิดจาก Default credentials ของผู้ดูแลระบบ ทำให้ผู้โจมตีสามารถเปิดการใช้งาน Admin shell ได้
  • CVE-2022-2827 (CVSS v3.1: 7.5) เป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีสามารถ Request เพื่อค้นหาชื่อผู้ใช้ภายในระบบ ว่ามีบัญชีผู้ใช้นั้นอยู่หรือไม่

ผลกระทบสำหรับ 2 ช่องโหว่แรกจึงมีความรุนแรงมากกว่าช่องโหว่ที่ 3 เนื่องจากผู้โจมตีสามารถเข้าถึงการใช้งานในส่วนของ Admin shell ทำให้สามารถเข้าจัดการข้อมูลที่สำคัญของระบบ ให้ทำการบริการต่างๆ ต้องหยุดการทำการลง แต่ในส่วนช่องโหว่ที่ 3 อาจจะยังไม่ส่งผลกระทบโดยตรงกับความปลอดภัยต่างๆ เพราะเนื่องจากผู้โจมตีรู้แค่เพียงชื่อของผู้ใช้งาน แค่นั้นจึงยังไม่เพียงพอที่จะสร้างความเสียหายใดๆ

ท้ายที่สุดผู้เชี่ยวชาญจาก Eclypsium แนะนำ admin ที่ดูแลระบบ ควรตรวจสอบในเรื่องของการ Remote การใช้งานเพิ่มเติมสำหรับการเชื่อมต่อมายังเซิร์ฟเวอร์ และควรมีการอัพเดต Firmware อย่างสม่ำเสมอ เพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้นได้ทุกเวลา

อ้างอิง: bleepingcomputer.com

#ข่าวไซเบอร์ #ภัยคุกคาม #Server #ช่องโหว่ #CVE #CVSS #AMD #AmpereComputing  #ASRock #Asus #ARM #DellEMC #Gigabyte #Hewlett-Packard #HP #Huawei #Inspur #Lenovo #Nvidia #Qualcomm #Quanta #Tyan
#cyber #CyberIntelligence #Eclypsium #hacker #BMC