พบช่องโหว่ความรุนแรงสูงบน AMI MegaRAC กระทบผู้ผลิต Server หลายราย

พบช่องโหว่ความรุนแรงสูงจำนวน 3 รายการ บน AMI MegaRAC BMC กระทบผู้ผลิต Server หลายราย

Credit: ShutterStock.com

ผู้เชี่ยวชาญทางด้านความมั่นคงปลอดภัยจาก Eclypsium ได้ค้นพบช่องโหว่จำนวน 3 รายการที่เกิดขึ้นในซอฟต์แวร์ American Megatrends MegaRAC Baseboard Management Controller (BMC) ซึ่งถูกใช้งานใน Server เป็นหลัก ทำให้กระทบผู้ผลิต Server หลายราย เช่น AMD, Ampere Computing, ASRock, Asus, ARM, Dell EMC, Gigabyte, Hewlett-Packard Enterprise, Huawei, Inspur, Lenovo, Nvidia, Qualcomm, Quanta, และ Tyan สำหรับรายละเอียดแต่ละช่องโหว่มีดังนี้

  • CVE-2022-40259: ทำให้ผู้โจมตีสามารถรันคำสั่งที่ต้องการผ่านทาง Redfish API ได้ มีคะแนน CVSS v3.1 ที่ 9.9 คะแนน ถือเป็นช่องโหว่ระดับ Critical
  • CVE-2022-40242: เกิดขึ้นจาก Default credential ของผู้ดูแลระบบ ทำให้ผู้โจมตีสามารถสั่งเปิดการใช้งาน Admin Shell ได้ มีคะแนน CVSS v3.1 ที่ 8.3 คะแนน
  • CVE-2022-2827: ทำให้ผู้ไม่หวังดีสามารถส่ง Request เพื่อค้นหาและคาดเดา Username ในระบบว่ามีอยู่หรือไม่ มีคะแนน CVSS v3.1 ที่ 7.5 คะแนน

Eclypsium ได้แนะนำผู้ที่ดูแล Server ควรทำการแยกเครือข่าย BMC ที่ใช้ในการทำ Remote Management สำหรับ Server ออกจากเครือข่ายปกติ และควรมีการอัปเดต Firmware และทำ Vulnerability Assessments สำหรับ Server อย่างสม่ำเสมอ เพื่อป้องกันการโจมตี

ที่มา: https://www.bleepingcomputer.com/news/security/severe-ami-megarac-flaws-impact-servers-from-amd-arm-hpe-dell-others/


About เด็กฝึกงาน TechTalkThai หมายเลข 1

นักเขียนมือใหม่ผู้หลงใหลใน Enterprise IT และซูชิ

Check Also

พบ 47 หัวข้อสัมมนาด้าน Cybersecurity และ Data Privacy ในงาน NCSA Thailand National Cyber Week 2023 วันที่ 17 – 18 กุมภาพันธ์ ณ สามย่านมิตรทาวน์

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ขอเชิญเหล่าผู้บริหารและผู้ปฏิบัติงานด้าน Cybersecurity รวมถึงนักเรียนนักศึกษาและประชาชนที่สนใจ เข้าร่วมสัมมนาและฟังบรรยายในงาน Cybersecurity Expo ระดับชาติ “Thailand National Cyber Week 2023” เพื่อแลกเปลี่ยนความรู้และอัปเดตเทรนด์ด้าน …

QNAP ออกแพตช์อุดช่องโหว่ความรุนแรงสูงบนอุปกรณ์ NAS

QNAP ออกแพตช์อุดช่องโหว่ความรุนแรงสูงใน QTS และ QuTS บนอุปกรณ์ NAS Devices