BDU:2022-07325 (CVE-2022-40242) — уязвимость микропрограммного обеспечения контроллера удаленного управления серверами AMI MegaRAC Baseboard Management
По данным БДУ ФСТЭК России, по состоянию на 22.12.2022.
Высокий — 8.3/10 Устранена
Уязвимость микропрограммного обеспечения контроллера удаленного управления серверами AMI MegaRAC Baseboard Management Controller (BMC) связана с использованием жестко закодированных учетных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить полный доступ к устройству через SSH
Кого касается и что делать
- Уязвимое ПО: AMI MegaRAC (AMI); HPE Cloudline CL2200 Gen10 Server (HP) — версии до 12.77.04 включительно; HPE Cloudline CL2100 Gen10 Server (HP) — версии до 12.77.04 включительно; и ещё 25 позиций
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2022-07325 · CVE-2022-40242 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.3; CVSS 2.0 — 7.6) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость микропрограммного обеспечения контроллера удаленного управления серверами AMI MegaRAC Baseboard Management Controller (BMC), позволяющая нарушителю получить полный доступ к устройству |
| Даты | Опубликована: 22.12.2022 · Обновлена ФСТЭК: 22.12.2022 · Выявлена: 06.12.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-798 — жесткое кодирование регистрационных данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации |
Уязвимое ПО
- AMI MegaRAC (AMI) — микропрограммный код
- HPE Cloudline CL2200 Gen10 Server (HP) — до 12.77.04 включительно · сетевое средство, ПО сетевого программно-аппаратного средства
- HPE Cloudline CL2100 Gen10 Server (HP) — до 12.77.04 включительно · сетевое средство, ПО сетевого программно-аппаратного средства
- Rack Server — RD350G (Hyperscale) (Lenovo Group) — до 9.22.53751 · микропрограммный код
- HG680X (Lenovo Group) — микропрограммный код
- SR635 (Lenovo Group) — до 5.84 · микропрограммный код
- SR655 (Lenovo Group) — до 5.84 · микропрограммный код
- Converged HX3710 (Lenovo Group) — микропрограммный код
- Converged HX3710-F (Lenovo Group) — микропрограммный код
- Converged HX2710-E (Lenovo Group) — микропрограммный код
- HR610X (Lenovo Group) — микропрограммный код
- HR630X (Lenovo Group) — микропрограммный код
- HR650X (Lenovo Group) — микропрограммный код
- ThinkSystem HR650M-V2 (Lenovo Group) — микропрограммный код
- N3310 Storage (Lenovo Group) — микропрограммный код
- N4610 Storage (Lenovo Group) — микропрограммный код
- RD350 (Lenovo Group) — микропрограммный код
- RD450 (Lenovo Group) — микропрограммный код
- RD550 (Lenovo Group) — микропрограммный код
- RD650 (Lenovo Group) — микропрограммный код
- RS160 (Lenovo Group) — микропрограммный код
- RS260 (Lenovo Group) — микропрограммный код
- SD350 (Lenovo Group) — микропрограммный код
- TD350 (Lenovo Group) — микропрограммный код
- TS460 (Lenovo Group) — микропрограммный код
- TS560 (Lenovo Group) — микропрограммный код
- ASPEED AST2500 (Gigabyte) — до 12.60.39 · микропрограммный код
- ASPEED AST2600 (Gigabyte) — до 13.04.12 · микропрограммный код
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
- сегментирование сети с целью ограничения доступа к серверному оборудованию
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа
- применение систем обнаружения вторжений
- отключение встроенных учетных записей.
