Новые уязвимости в Supermicro BMC поставили тысячи серверов под удар

Новые уязвимости в Supermicro BMC поставили тысячи серверов под удар

Новые уязвимости в Supermicro BMC поставили тысячи серверов под удар

Компания Supermicro выпустила обновления, чтобы закрыть семь уязвимостей в прошивках IPMI. Одна из них позволяет через инъекцию команд получить root-доступ и полностью скомпрометировать BMC-систему.

Проблема, обнаруженная, как и остальные, экспертами Binarly, получила идентификатор CVE-2023-40289. Эксплойт требует аутентификации и прав администратора; в случае успеха злоумышленник сможет закрепиться в системе и развить атаку, продвигаясь вширь по сети.

Степень опасности уязвимости Supermicro оценила в 7,2 балла по шкале CVSS — как высокую. Авторы находки сочли дыру критической (9,1 балла CVSS).

Остальные проблемы (с CVE-2023-40284 по CVE-2023-40288 и CVE-2023-40290) представляют собой возможность межсайтового скриптинга; эксплойт во всех случаях осуществляется через отправку вредоносной ссылки, которую админ должен кликнуть после входа в BMC Web UI, и позволяет выполнить произвольный JavaScript-код в контексте текущего пользователя.

Все XSS разработчик оценил в 8,3 балла CVSS, хотя в двух случаях эксплойт требует создания нового юзер-аккаунта, а в одном возможен лишь при использовании Windows IE11. В Binarly три XSS-проблемы признали критическими (по 9,6 балла), так как особые условия для эксплойта не нужны; к тому же их можно объединить с инъекцией команд (CVE-2023-40289), и необходимость в аутентификации для root-доступа отпадет.

Согласно Supermicro, выявленные уязвимости актуальны для некоторых моделей материнских плат B11, CMM, H11, H12, M11 и X11. Данных об использовании какой-либо дыры в атаках пока нет.

В Binarly провели поиск по Shodan и обнаружили в интернете более 70 тыс. экземпляров веб-интерфейса Supermicro IPMI.

В России на четверть выросло количество банкротств ИТ-компаний

За 11 месяцев 2025 года процедуру банкротства инициировали 630 российских ИТ-компаний — это на 28% больше, чем за аналогичный период 2024 года. Для сравнения: с января по ноябрь прошлого года такие процедуры начали 491 компания с ОКВЭД 26, 62 и 63. При этом из всех ИТ-компаний, зарегистрированных в 2022 году, на рынке к настоящему моменту осталось чуть больше половины.

Такие данные содержатся в отчёте сервиса проверки контрагентов Rusprofile, подготовленном по запросу «Известий». Согласно исследованию, из 37,9 тыс. ИТ-компаний, зарегистрированных в 2022 году, до 2025 года «дожили» лишь 20,6 тыс.

При этом количество новых ИТ-компаний продолжает расти. Если за 11 месяцев 2024 года было зарегистрировано около 42 тыс. организаций, то за тот же период 2025 года — уже 48,4 тыс. Рост составил 15%. В Rusprofile, однако, не уточняют, насколько эта динамика связана с реальными проектами и внедрением российского оборудования и ПО.

В Минцифры данные Rusprofile изданию не подтвердили. В ведомстве отметили, что ведут собственную статистику по аккредитованным ИТ-компаниям. «За этот год, по данным ЕГРЮЛ, было создано и аккредитовано более 450 организаций, тогда как количество ликвидированных составило порядка 150. Компании самостоятельно принимают решения о ведении бизнеса, в том числе о его закрытии или реструктуризации. По итогам последних лет ИТ сохраняет лидерство по темпам роста среди крупных отраслей», — сообщили в министерстве.

В Минцифры также подчеркнули, что положительной динамике способствуют действующие льготы для ИТ-компаний и меры по стимулированию спроса на российское программное обеспечение.

Партнёр ComNews Research Леонид Коник не видит противоречий между данными Минцифры и Rusprofile. По его словам, министерство учитывает уже ликвидированные юрлица, тогда как Rusprofile фиксирует компании, которые лишь начали процедуры банкротства или ликвидации.

«Rusprofile опирается на юридические данные компаний, которые сообщили о начале ликвидации или банкротства и отобраны по “айтишным” ОКВЭД. Если эти процессы будут доведены до конца, Минцифры увидит их в статистике следующих периодов», — пояснил эксперт.

Эксперты, опрошенные изданием, связывают «охлаждение» российского ИТ-рынка с общей экономической ситуацией. По словам одного из участников рынка, спад начался ещё в 2024 году после резкого повышения ключевой ставки, из-за чего получение кредитов стало практически недоступным: банки либо отказывали в финансировании, либо предлагали его под крайне высокий процент.

Дополнительным фактором стала политика экономии со стороны заказчиков. Как отметил директор компании «Абсолют Страхование» Владимир Дорожкин, в 2022–2024 годах многие организации вели форсированные закупки российской продукции, что привело к перегреву рынка. В конце 2024 и в 2025 году компании сосредоточились на доработке уже приобретённых решений и их развитии собственными силами.

Партнёр веб-интегратора ITECH Евгения Круглова добавила, что удорожание кредитов повлияло и на клиентов ИТ-компаний. В результате бизнес пересматривает бюджеты, включая расходы на ИТ, причём особенно пострадали сервисные проекты и направления, связанные с аутстаффингом.

Леонид Коник также отметил, что на волне ажиотажа в 2022 году на рынок вышло множество компаний, которые в спешке сменили профиль на ИТ. Среди них было немало дочерних структур бизнесов, далёких от разработки ПО — от поставщиков кормов для животных до компаний по ремонту зданий. По мере сворачивания мер поддержки ИТ, которое продолжится в 2026 году, число таких организаций будет сокращаться, а к их деятельности всё активнее проявляют интерес контролирующие органы.

По мнению заместителя директора «АРБ Про» Романа Копосова, процесс перераспределения рынка после ухода зарубежных вендоров ещё не завершён. Компании, внедрявшие иностранные решения, переходят к импортозамещению, что нередко сопровождается закрытием одних юрлиц и созданием других. Евгения Круглова также не исключает дробление бизнесов для оптимизации налоговой нагрузки.

Владимир Дорожкин считает, что в ближайшие несколько лет рынок будет расти умеренными темпами. Основным сдерживающим фактором останется консервативная политика заказчиков на фоне текущей экономической ситуации.

RSS: Новости на портале Anti-Malware.ru