The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]



"Серия уязвимостей в BMC-контроллерах серверов Huawei"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от opennews (??) on 03-Июн-18, 10:44 
Компания Huawei раскрыла (http://www.huawei.com/en/psirt/all-bulletins) информацию о нескольких уязвимостях в своих серверных системах. Некоторые из выявленных проблем позволяют получить доступ к оболочке BMC-контроллера без прохождения аутентификации и повысить свои привилегии в системе. Проблемы присутствуют в различных моделях серверов Huawei линейки XH, RH и CH, оснащённых чипом iBMC (Intelligent Baseboard Management Controller). iBMC предоставляет управляющий интерфейс для низкоуровневого доступа к серверу в обход операционной системы, позволяющий управлять прошивками и дисками, загрузить собственную ОС по сети, организовать работу консоли удалённого доступа. Для устранения проблем уже выпущены обновления прошивок.

-  CVE-2018-7949 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - возможность получить привилегированный доступ к iBMC через отправку специального оформленного сетевого запроса. Проблема вызвана недоработкой в механизме аутентификации и позволяет постороннему сменить пароль привилегированных пользователей управляющего интерфейса;

-   CVE-2018-7950, CVE-2018-7951 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...), CVE-2018-7902, CVE-2018-7903 и CVE-2018-7904 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - отсутствие должной проверки корректности входных данных в iBMC позволяет аутентифицрованному атакующему осуществить подстановку данных в формате JSON и изменить пароль администратора, получив полный доступ к управляющему интерфейсу;

-  CVE-2018-7942 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - уязвимость может привести к утечке информации из iBMC при отправке специально оформленных сетевых запросов;
-  CVE-2018-7941 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - аутентифицированный атакующий с низким уровнем привилегий может через отправку специально оформленного сообщения повысить свои полномочия до администратора.

URL: http://www.huawei.com/en/psirt/all-bulletins
Новость: https://www.opennet.ru/opennews/art.shtml?num=48707

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +6 +/
Сообщение от Аноним (??) on 03-Июн-18, 10:44 
Офицер китайского АНБ поставил галочку в плане по развёртыванию системы глобальной технической разведки. Этап "раскрытие информации об отдельных зондах под видом исправления уязвимостей с целью сокрытия оставшихся и внедрения новых под видом обновлений" выполнен.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +4 +/
Сообщение от Аноним (??) on 03-Июн-18, 11:01 
Интересно, в своих серверах Huawei тоже смену прошивки запретит?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от Аноним (??) on 03-Июн-18, 14:00 
Главное, чтобы автообновление прошивки не добавили.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

13. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  –1 +/
Сообщение от Andrey Mitrofanov on 03-Июн-18, 17:32 
> Интересно, в своих серверах Huawei тоже смену прошивки запретит?

Не! Интересно, будут ди они делать _нефикшенные_ BMC _в телефонах_ завместо крайнего "прекращения предоставления разблокировки для".

Удобство ж амнимистроринивая!

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  –3 +/
Сообщение от Аноним (??) on 03-Июн-18, 11:48 
Опыт ZTE заставил Huawei заняться(скорее делать вид) проблемами безопасности.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

20. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  –1 +/
Сообщение от Michael Shigorin email(ok) on 04-Июн-18, 02:08 
> Опыт ZTE заставил Huawei

А кого чем заставил заниматься опыт Samsung?
(особей, лепечующих туфту про "уголки" -- сразу исключаем из)

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

23. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от Аноним (??) on 04-Июн-18, 18:44 
> А кого чем заставил заниматься опыт Samsung?

А что с Samsung-ом? Samsung на китайскую разведку вряд ли работает.

А на ZTE был большой наезд со стороны американского правительства. Да такой, что дело шло к банкротсту. А основной претензией были множественные дыры в системах безопасности.
И на Huawei тоже был наезд, но не такой масштабный. Huawei после этого и начал "чухаться".
А ZTE ещё предстоит выбираться из этой задницы. Им штраф около $1.7 ядра ещё предстоит выплатить.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

24. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от Аноним (??) on 04-Июн-18, 18:51 
ADD: Про Иран и КНДР я в курсе. Но это скорее повод, а не истинная причина.
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

5. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +10 +/
Сообщение от Аноним (??) on 03-Июн-18, 11:54 
Нет в мире гномов, единорогов и недырявых BMC. Поэтому нужно обеспечивать их безопасность путем ограничения доступа - например, держать все BMC в серых сетях, доступных через VPN.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

22. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +1 +/
Сообщение от Аноним (??) on 04-Июн-18, 10:24 
Про гномов еще можно поспорить =)
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

6. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  –2 +/
Сообщение от Аноним (??) on 03-Июн-18, 13:08 
Ну а что вы хотели от китайцев? "Зато дёшево!"
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +1 +/
Сообщение от Аноним (??) on 03-Июн-18, 15:30 
Почитай рассылки любого производителя серверного оборудования. Там таких багов вагон и тележка. Ну а что вы хотели от американцев? Зато дёшево!
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

12. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +3 +/
Сообщение от 1 (??) on 03-Июн-18, 17:20 
Зато дорого!(fixed.)
Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

10. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от Аноним (??) on 03-Июн-18, 15:03 
Тут все думают куда валить с Гитхаба после покупки Майкрософтом, а ты всех тянеш опять на Гитхаб...
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

18. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +1 +/
Сообщение от Аноним (??) on 03-Июн-18, 23:21 
А вы, что, BMC в принципе через публичный инет доступным держите?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Серия уязвимостей в BMC-контроллерах серверов Huawei"  +/
Сообщение от Аноним (??) on 04-Июн-18, 10:15 
А что-бы было доступно есть прорехи в другом оборудовании :)
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor