СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
09.07.2024
#ИБ#Инфра

BDU:2025-00192 (CVE-2024-38508) — уязвимость веб-интерфейса или интерфейса командной оболочки контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo

По данным БДУ ФСТЭК России, по состоянию на 19.01.2025.

Высокий — 7.2/10 Устранена

Уязвимость веб-интерфейса или интерфейса командной оболочки контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды с помощью специально созданного запроса

Кого касается и что делать

  • Уязвимое ПО: HX5530 Appliance (ThinkAgile) (Lenovo Group) — версии до 4.71; HX7530 Appl for SAP HANA (ThinkAgile) (Lenovo Group) — версии до 4.71; VX3331 Certified Node (ThinkAgile) (Lenovo Group) — версии до 4.71; и ещё 131 позиция
  • Что делать: уязвимость устранена производителем — применить исправления: support.lenovo.com

Сведения об уязвимости

Идентификаторы BDU:2025-00192 · CVE-2024-38508
Уровень опасности Высокий (базовая оценка CVSS 3.1 — 7.2; CVSS 2.0 — 9.0)
Вектор CVSS 3.1 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
атака по сети, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК Уязвимость веб-интерфейса или интерфейса командной оболочки контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem, позволяющая нарушителю выполнить произвольные команды
Даты Опубликована: 13.01.2025 · Обновлена ФСТЭК: 19.01.2025 · Выявлена: 09.07.2024
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Класс уязвимости Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

  • HX5530 Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX7530 Appl for SAP HANA (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • VX3331 Certified Node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX Enclosure Certified Node (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • HX1021 Edge Certified Node 3yr (Lenovo Group) — до 4.11 TEI3E4A · микропрограммный код
  • HX1320 Appliance (Lenovo Group) — версии до 9.97 CDI3B4B, до 4.11 TGBT50C · микропрограммный код
  • HX1321 Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX1331 Certified Node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX1520-R Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX1521-R Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX2320-E Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX2321 Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX2330 Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX2331 Certified Node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX2720-E Appliance (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • HX3320 Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX3321 Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX3330 Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX3331 Certified Node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX3331 Node SAP HANA (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX3375 Appliance (Lenovo Group) — до 5.61 D8BT64D · микропрограммный код
  • HX3376 Certified Node (Lenovo Group) — до 5.61 D8BT64D · микропрограммный код
  • HX3520-G Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX3521-G Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX3720 Appliance (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • HX3721 Certified Node (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • HX5520 Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX5520-C Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX5521 Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX5521-C Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX5531 Certified Node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX7520 Appliance (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • HX7521 Certified Node (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • VX7531 Certified Node (Lenovo Group) — до 4.71 · микропрограммный код
  • HX7531 Node SAP HANA (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • HX7820 Appliance (Lenovo Group) — до 3.11 PSI354A · микропрограммный код
  • HX7821 Certified Node (Lenovo Group) — до 3.11 PSI354A · микропрограммный код
  • MX Edge Appliance — MX1020 (Lenovo Group) — до 4.11 TEI3E4A · микропрограммный код
  • MX3330-F All-flash Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3330-H Hybrid Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3331-F All-flash Certified node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3331-H Hybrid Certified node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3530 F All flash Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3530-H Hybrid Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • MX3531 H Hybrid Certified node (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • ThinkAgile MX1021 on SE350 (Lenovo Group) — до 4.11 TEI3E4A · микропрограммный код
  • VX 1SE Certified Node (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • VX 2U4N Certified Node (Lenovo Group) — до 4.11 TGBT50C · микропрограммный код
  • VX2320 (Lenovo Group) — до 9.97 CDI3B4B · микропрограммный код
  • VX2330 Appliance (ThinkAgile) (Lenovo Group) — до 4.71 · микропрограммный код
  • … и ещё 84 позиции

Возможные меры по устранению уязвимости

Обновление.

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных