Deux autres failles de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans le logiciel AMI MegaRAC Baseboard Management Controller (BMC), pr\u00e8s de deux mois apr\u00e8s la d\u00e9couverte de trois vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 dans le m\u00eame produit.<\/p>\n
Entreprise de s\u00e9curit\u00e9 du micrologiciel Eclypsium m’a dit<\/a> les deux lacunes ont \u00e9t\u00e9 retenues jusqu’\u00e0 pr\u00e9sent pour donner \u00e0 AMI plus de temps pour concevoir les mesures d’att\u00e9nuation appropri\u00e9es.<\/p>\n Les probl\u00e8mes, collectivement suivis comme BMC&C<\/strong>pourrait servir de tremplin pour les cyberattaques, permettant aux acteurs de la menace d’obtenir l’ex\u00e9cution de code \u00e0 distance et l’acc\u00e8s non autoris\u00e9 \u00e0 l’appareil avec des autorisations de superutilisateur.<\/p>\n Les deux nouveaux d\u00e9fauts en question sont les suivants –<\/p>\n Plus pr\u00e9cis\u00e9ment, MegaRAC s’est av\u00e9r\u00e9 utiliser l’algorithme de hachage MD5 avec un sel global pour les appareils plus anciens, ou SHA-512 avec sels par utilisateur<\/a> sur les appliances plus r\u00e9centes, permettant potentiellement \u00e0 un acteur malveillant de d\u00e9chiffrer les mots de passe.<\/p>\n CVE-2022-26872, d’autre part, exploite une API HTTP pour duper un utilisateur afin qu’il lance une r\u00e9initialisation de mot de passe au moyen d’une attaque d’ing\u00e9nierie sociale et d\u00e9finisse un mot de passe au choix de l’adversaire.<\/p>\n CVE-2022-26872 et CVE-2022-40258 s’ajoutent \u00e0 trois autres vuln\u00e9rabilit\u00e9s divulgu\u00e9es en d\u00e9cembre, notamment CVE-2022-40259<\/a> (cote CVSS : 9,9), CVE-2022-40242<\/a> (score CVSS : 8,3), et CVE-2022-2827<\/a> (Note CVSS : 7,5).<\/p>\n Il convient de souligner que les faiblesses ne sont exploitables que dans les sc\u00e9narios o\u00f9 les BMC sont expos\u00e9s \u00e0 Internet ou dans les cas o\u00f9 l’acteur de la menace a d\u00e9j\u00e0 obtenu un acc\u00e8s initial \u00e0 un centre de donn\u00e9es ou \u00e0 un r\u00e9seau administratif par d’autres m\u00e9thodes.<\/p>\n Le rayon d’explosion de BMC&C est actuellement inconnu, mais Eclypsium a d\u00e9clar\u00e9 qu’il travaillait avec AMI et d’autres parties pour d\u00e9terminer l’\u00e9tendue des produits et services touch\u00e9s.<\/p>\n Gigabyte, Hewlett Packard Enterprise, Intel et Lenovo ont tous publi\u00e9 des mises \u00e0 jour pour corriger les d\u00e9fauts de s\u00e9curit\u00e9 de leurs appareils. NVIDIA est attendu<\/a> pour exp\u00e9dier un correctif en mai 2023.<\/p>\n “L’impact de l’exploitation de ces vuln\u00e9rabilit\u00e9s comprend le contr\u00f4le \u00e0 distance des serveurs compromis, le d\u00e9ploiement \u00e0 distance de logiciels malveillants, de ransomwares et d’implantations de micrologiciels, et les dommages physiques au serveur (bricking)”, a not\u00e9 Eclypsium.<\/p>\n <\/p>\n\n