英特尔、联想等服务器曝出难以修复的漏洞
近日，英特尔、联想等多个厂商销售的服务器硬件曝出一个难以修复的远程可利用漏洞。该漏洞属于供应链漏洞，源自一个被多家服务器厂商整合到产品中的开源软件包——Lighttpd。
Lighttpd 是一款开源 Web 服务器，以轻量级、快速且高效而闻名，非常适合高流量网站，同时消耗较少的系统资源。该漏洞存在于使用 lighttpd 版本 1.4.35、1.4.45 和 1.4.51 的任何服务器硬件中。
漏洞潜伏六年，服务器供应链安全堪忧
安全公司 Binarly 的研究人员近日证实，英特尔、联想和超微（Supermicro）等公司销售的服务器硬件中存在一个潜伏长达6年的漏洞，可被黑客利用泄露关键安全信息。研究人员进一步警告，任何使用美国佐治亚州 Duluth 公司（AMI） 或中国台湾省AETN 生产的特定型号的BMC（基板管理控制器） 的服务器硬件都会受到影响。
BMC是焊接在服务器主板上的微型计算机，被云计算中心（有时也包括其客户）用于远程管理庞大的服务器集群。管理员可通过BMC远程重新安装操作系统、安装和卸载应用程序，并可几乎完全控制系统——即使服务器处于关闭状态。BMC成就了业界所称的“无灯”系统管理，AMI 和 AETN 是众多 BMC 制造商中较为知名的两家。
多年来，很多品牌的BMC产品都集成了存在漏洞的开源软件 lighttpd，后者是一个快速轻量级的 web 服务器，兼容各种硬件和软件平台。lighttpd被广泛用于各种产品，包括嵌入式设备（例如 BMC），允许远程管理员通过 HTTP 请求远程控制服务器。
2018 年，lighttpd 开发人员发布了一个新版本，修复了“各种释放后利用场景”，这是一个含糊其辞的描述，实际是修复了一个可远程利用的堆越界（OOB）读取漏洞，但由于开发人员并未在更新中使用“漏洞”一词，也没有按照常规操作分配CVE 漏洞编号，这导致 AMI MegaRAC BMC的开发人员错过了修复并未能将其集成到产品中。结果，该漏洞沿着供应链蔓延到系统供应商及其客户：
Binarly 研究人员表示，lighttpd的漏洞被修复后，包括 AMI 和 ATEN 在内的 BMC 制造商仍在使用受影响的 lighttpd 版本，并且这种情况持续了多年，多家服务器厂商在过去几年间继续将存在漏洞的BMC整合到硬件中。Binarly 识别出其中三家服务器制造商：英特尔、联想和超微（Supermicro）。
“多年来，（lighttpd 漏洞）一直存在于固件中，没有人关心更新用于BMC固件镜像的第三方组件，” Binarly 研究人员写道：“这又是固件供应链管理缺乏一致性的典型案例，最新版本的固件中存在一个严重过时的第三方组件，为最终用户带来了额外的风险。估计业界还有更多使用易受攻击的 lighttpd 版本的服务器系统。”
操作系统会通过地址空间布局随机化 (ASLR)来隐藏处理关键功能的敏感内存地址，以防止被用于软件漏洞利用。研究人员表示，虽然lighttpd只是一个中危漏洞，但是结合其他漏洞，黑客能够绕过ASLR的保护，识别负责处理关键功能的内存地址。
漏洞广泛存在但难以修复
跟踪多种服务器硬件中的各种BMC组件供应链很困难。到目前为止，Binarly 已经识别出 AMI 的 MegaRAC BMC 是易受攻击的BMC之一。Binarly 发现 AMI 从2019年到2023年期间未应用 Lighttpd 修复程序，导致这些年来数以万计易受远程可利用漏洞攻击的设备推出。
已知受影响设备的供应商包括英特尔和联想。Binarly公司指出，最近于 2023 年 2 月 22 日发布的一些英特尔系统也包含易受攻击的组件。有关ATEN BMC的信息目前尚不可用。
威胁分析师根据 Lighttpd 漏洞对不同供应商和设备的影响，为其分配了三个内部标识符：
- BRLY-2024-002：英特尔M70KLP 系列固件版本 01.04.0030（最新）中使用的 Lighttpd 版本 1.4.45 中存在特定漏洞，影响某些英特尔服务器型号。
- BRLY-2024-003：联想服务器型号 HX3710、HX3710-F 和 HX2710-E 中使用的 Lenovo BMC 固件版本 2.88.58（最新）内的 Lighttpd 版本 1.4.35 中存在特定漏洞。
- BRLY-2024-004：Lighttpd Web 服务器版本 1.4.51 之前的一般漏洞，允许从服务器的进程内存读取敏感数据。
根据Binarly的报告，英特尔和联想均表示受影响服务器型号已达到产品使用寿命（EOL），不再接收安全更新。换而言之，英特尔和联想均不计划发布修复程序，这意味着这些服务器硬件在退役之前可能仍然容易受到攻击。（超微的受影响产品仍获得支持）
更糟糕的是，Binarly声称有“大量”易受攻击且公开可用的 BMC 设备已达到使用寿命，并且由于缺乏补丁而将永远保持易受攻击的状态。
研究人员表示，服务器行业对该漏洞反应冷淡，未能成功联系到 lighttpd 开发人员和大多数受影响的服务器硬件制造商，一位 AMI代表则拒绝评论漏洞。
参考链接：
第一时间获取面向IT决策者的独家深度资讯，敬请关注IT经理网微信号：ctociocom
除非注明，本站文章均为原创或编译，未经许可严禁转载。
相关文章：
关于作者GoUpSec
升华安全佳，安全看世界。GoUpSec以国际化视野服务于网络安全决策者人群，致力于成为国际一流的调研、分析、媒体、智库机构。
