Интерфейс IPMI позволяет атаковать выключенный сервер через интернет

Интерфейс IPMI позволяет атаковать выключенный сервер через интернет

Йоханнес Ульрих (Johannes Ullrich) из SANS Technology Institute описывает потенциальную опасность, которую представляет собой интерфейс IPMI (Intelligent Platform Management Interface). Компания Intel придумала интерфейс IPMI для удалённого управления серверами, в том числе для перезагрузки сервера, если операционная система не отвечает.

За последние годы IPMI претерпел ряд ревизий и различных реализаций, так что набор поддерживаемых функций на конкретном сервере зависит от производителя материнской платы и версии прошивки. Но есть некоторые общие функции для всех реализаций IPMI.

  • IPMI активен всегда, когда сервер подключён к источнику электропитания, независимо от того, включён сам сервер или нет;
  • IPMI реализован в виде отдельной микросхемы на материнской плате, для работы ему не требуется CPU, RAM или другие компоненты;
  • IPMI может использовать существующую сетевую карту и не нуждается в отдельной сетевой плате.

Если операционная система поддерживает IPMI, то с помощью специального серверного ПО можно подключиться к нему и получить информацию с различных сенсоров. Среди таких программ — OpenIPMI и FreeIPMI, передает xakep.ru.

IPMI версии 1.0 работал через серийный порт, а с версии 1.5 стало возможным запускать окно терминала через IP, версия 2.0 содержит поддержку блейдов, vLan и дополнительные функции из современных сетевых стандартов. В последних реализациях IPMI представляет полнофункциональный сервис для удалённого управления, включая такие функции как смену прошивки на сервере.

Разумеется, многие системные администраторы не соблюдают меры безопасности, в том числе не закрывают доступ по HTTP и не меняют пароль по умолчанию для IPMI, о чём и рассказывает Йоханнес Ульрих.

Видео вы можете посмотреть перейдя по ссылке

Подпишитесь на новости

Claude Code удалил 116 ГБ и сообщил, что файлы выглядят нормально

Пользователь Windows сообщил, что Claude Code при уборке временных файлов удалил около 116 ГБ данных из его домашней директории. Затем агент заверил, что остановил команду и все выглядит целым. По описанию инцидента, удаление продолжалось еще примерно 50 минут.

В отчете на GitHub пользователь рассказывает, что работал над анализом для соревнования Kaggle.

Основная сессия запустила субагента, который решил очистить собственные временные файлы, но сформировал лишнюю команду рекурсивного удаления.

Целью стала домашняя директория, указанная коротким именем Windows формата 8.3. Автор предполагает, что защитная проверка могла не распознать такой вариант пути. Точный механизм отказа защиты и режим разрешений остаются неизвестными.

Через 120 секунд задача автоматически перешла в фон. Агент запросил остановку и получил сообщение об успехе, однако, судя по описанным изменениям файловой системы, удаление продолжалось. Вероятное объяснение — дочерний процесс пережил остановку задачи.

Проверка тоже оказалась поверхностной: агент посмотрел на названия папок верхнего уровня, которые могли сохраняться, пока их содержимое исчезало.

Пользователь сообщил о потере проектов за несколько месяцев, инструментов разработки, SSH-ключей и учетных данных. В корзине удаленные файлы не оказались. Обращение помечено как ошибка высокого приоритета с потерей данных.

Особенно неприятна в этой истории уверенность агента. Наличие папки еще не означает наличие файлов.

RSS: Новости на портале Anti-Malware.ru