Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Более 47 тыс. серверов уязвимы из-за брешей в платах Supermicro

Исследователи вывили новый вектор атаки на серверы, работающие на материнских платах Supermicro. Вся проблема в новой связке уязвимостей — USBAnywhere. Более 47 тыс. рабочих станций и серверов в настоящее время уязвимы для удаленных атак, так как внутренний компонент открыт для доступа из Сети.

Обнаруженные уязвимости затрагивают BMC (Baseboard Management Controller — контроллер, реализующий логику работы IPMI). Есть и хорошие новости — разработчики уже успели выпустить патчи, устраняющие проблему USBAnywhere.

Тем не менее сотрудники Supermicro, а также ряд экспертов в области безопасности рекомендуют закрыть доступ извне к интерфейсу управления BMC.

Первыми о USBAnywhere сообщили исследователи из компании Eclypsium. Согласно отчёту экспертов, бреши затрагивают функцию виртуального USB в прошивке.

Эта функция позволяет системным администраторам подключать USB-устройства к компьютерам, однако при этом управлять ими как виртуальным USB.

Команда Eclypsium заявила, что ей удалось выявить четыре проблемы безопасности:

  • Процесс аутентификации позволял использовать имя пользователя и пароль в виде простого текста.
  • Незашифрованный сетевой трафик. Вообще, шифрование предусмотрено, но клиент должен запросить его.
  • Слабое шифрование. Пейлоад шифруется при помощи RC4 и с использованием фиксированного ключа, который генерируется в прошивке BMC. Известно, что RC4 содержит ряд уязвимостей.
  • Обход аутентификации (касается только платформ Supermicro X10 и X11). Самая опасная из обнаруженных брешей, так как позволяет атакующему реализовать постоянно повторяющиеся подключения к веб-интерфейсу BMC.

По оценкам специалистов, на сегодняшний день в Сети работают от 47 000 до 55 000 уязвимых систем.

«Сканирование TCP-порта 623 в интернете открыло около 47 339 BMC более чем из 90 стран. У всех уязвимый компонент доступен из Сети», — пишут сотрудники Eclypsium.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Школьные и родительские чаты в Москве переведут в MAX

Все школьные и родительские чаты в Москве будут переведены в мессенджер MAX. Об этом сообщила заместитель мэра столицы Анастасия Ракова. По её словам, переход начнётся уже с 1 сентября в рамках исполнения нового федерального закона. Таким образом, MAX станет основной цифровой платформой для общения родителей, учеников и педагогов.

Как заявила Ракова РИА Новости, перевод будет осуществлён в кратчайшие сроки.

«Федеральный закон принят, поэтому с 1 сентября все школьные родительские чаты будут переводиться в MAX», - сказала заммэра на пресс-конференции, посвящённой началу нового учебного года (цитата по Интерфаксу).

При этом требования об обязательной установке MAX появились в ряде школ ещё в конце июля. Тогда это объясняли тем, что именно MAX должен заменить платформу «Сферум», ранее использовавшуюся для образовательных коммуникаций.

В августе VK объявила о начале интеграции MAX и «Сферум». По словам представителей компании, процесс будет постепенным. С 25 августа все функции «Сферум» стали доступны пользователям в шести регионах пилотного внедрения (Республики Татарстан, Алтай и Марий Эл, Владимирская и Тверская области, Ханты-Мансийский автономный округ). С 15 сентября они начнут появляться и в других субъектах страны.

Через MAX школьники и родители смогут пользоваться сервисами системы «Моя школа», электронными дневниками, интерактивными досками и обмениваться документами с образовательными организациями. Министр просвещения Сергей Кравцов в интервью Наиле Аскер-заде в программе «Вести» подчеркнул, что российская система образования перейдёт на MAX «максимально быстро».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru