BDU:2022-07173 (CVE-2022-40259) — уязвимость интерфейса API Redfish микропрограммного обеспечения контроллеров удаленного управления AMI MegaRAC
По данным БДУ ФСТЭК России, по состоянию на 22.12.2022.
Критический — 9.9/10 Устранена
Уязвимость интерфейса API Redfish микропрограммного обеспечения контроллеров удаленного управления AMI MegaRAC связана с ошибками при генерации кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код при помощи отправки специально сформированного HTTP-запроса
Кого касается и что делать
- Уязвимое ПО: AMI MegaRAC (AMI); HPE Cloudline CL2200 Gen10 Server (HP) — версии до 12.77.04 включительно; HPE Cloudline CL2100 Gen10 Server (HP) — версии до 12.77.04 включительно; и ещё 25 позиций
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2022-07173 · CVE-2022-40259 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.9; CVSS 2.0 — 9.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость интерфейса API Redfish микропрограммного обеспечения контроллеров удаленного управления AMI MegaRAC, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 08.12.2022 · Обновлена ФСТЭК: 22.12.2022 · Выявлена: 06.12.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-94 — неверное управление генерацией кода (Внедрение кода); CWE-250 — исполнение с необязательными привилегиями |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- AMI MegaRAC (AMI) — микропрограммный код
- HPE Cloudline CL2200 Gen10 Server (HP) — до 12.77.04 включительно · сетевое средство, ПО сетевого программно-аппаратного средства
- HPE Cloudline CL2100 Gen10 Server (HP) — до 12.77.04 включительно · сетевое средство, ПО сетевого программно-аппаратного средства
- Rack Server — RD350G (Hyperscale) (Lenovo Group) — до 9.22.53751 · микропрограммный код
- HG680X (Lenovo Group) — микропрограммный код
- SR635 (Lenovo Group) — до 5.84 · микропрограммный код
- SR655 (Lenovo Group) — до 5.84 · микропрограммный код
- Converged HX3710 (Lenovo Group) — микропрограммный код
- Converged HX3710-F (Lenovo Group) — микропрограммный код
- Converged HX2710-E (Lenovo Group) — микропрограммный код
- HR610X (Lenovo Group) — микропрограммный код
- HR630X (Lenovo Group) — микропрограммный код
- HR650X (Lenovo Group) — микропрограммный код
- ThinkSystem HR650M-V2 (Lenovo Group) — микропрограммный код
- N3310 Storage (Lenovo Group) — микропрограммный код
- N4610 Storage (Lenovo Group) — микропрограммный код
- RD350 (Lenovo Group) — микропрограммный код
- RD450 (Lenovo Group) — микропрограммный код
- RD550 (Lenovo Group) — микропрограммный код
- RD650 (Lenovo Group) — микропрограммный код
- RS160 (Lenovo Group) — микропрограммный код
- RS260 (Lenovo Group) — микропрограммный код
- SD350 (Lenovo Group) — микропрограммный код
- TD350 (Lenovo Group) — микропрограммный код
- TS460 (Lenovo Group) — микропрограммный код
- TS560 (Lenovo Group) — микропрограммный код
- ASPEED AST2500 (Gigabyte) — до 12.60.39 · микропрограммный код
- ASPEED AST2600 (Gigabyte) — до 13.04.12 · микропрограммный код
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
- использование средств межсетевого экранирования для ограничения удаленного доступа к устройству
- ограничение доступа из внешних сетей (Интернет)
- сегментирование сети с целью ограничения доступа к оборудованию из внешних сетей
- отключение встроенных учетных записей и удаленной аутентификации (если возможно).
