Zranitelnost serverů Supermicro

Zachary Wikholm z bezpečnostního týmu CARI.net zveřejnil informaci o kritické zranitelnosti několika základních desek vyráběných společností Supermicro. Bylo zjištěno, že přihlašovací hesla IPMI/BMC nejsou hashována a uchovávají se v plaintextu do souboru, který je k dispozici ke stažení na portu 49152. Zranitelnost byla popsána u základních desek Supermicro s managementem BMC postaveném na chipu Nuvoton WPCM450. Výčet dotčených verzí firmware je dostupný na 0bin.net

24.6.2014 06:57 | Michal Makovec | Bezpečnostní upozornění

Komentáře

[Honza Jaroš]

Z toho posledního odkazu bych vůbec nebyl moudrý. Lepší je tenhle.

[Honza Jaroš]

Mimochodem, koukám, že ty chyby byly opravené už před rokem - a z vlastní zkušenosti vím, že měsíc starý server s deskou X9DR3-F touto chybou netrpí. Myslím, že je správné upozornit na nutnost aktualizace firmware, ale ta forma, kdy se zveřejní informace o chybě, ale už ne bližší informace o tom, jak chybu napravit (přestože ta možnost tu - minimálně u části desek - dávno je), mi přijde poněkud bulvární...

[Brumla01]

+1

[8an]

Bohužel ne všude, firmware pro desky z řady X7 (např. X7SPA-HF s Atomem) je děravý i v nejnovější verzi.

[Honza Jaroš]

Proto jsem psal "minimálně u části desek". Přesto mi způsob, jakým je to podáno, přijde spíš jako metoda konkurenčního boje než jako seriózní zpráva (a znovu opakuji, že je podle mě dobře, že na to upozornili, kritizuju jen formu).

Mimochodem, zkusil bych dotaz na Abacus. Netuším proč, ale výše zmíněný server koupený před měsícem má novější firmware, než jaký je k dispozici na stránkách SuperMicra. Takže pokud bych byl majitelem takovéto desky, asi bych se zkusil poptat, jestli není k dispozici neoficiální opravená verze a pokud je, proč ji nenabízejí ke stažení.

[8an]

To, že se o problému a opravě nikdo nedozvěděl, je také chyba Supermicro – nejspíš doufali, že když to neoznámí a jen potichu opraví, tak se na to nepřijde a ujdou ostudě. Přitom těžko mohli čekat, že budou lidi upgradovat automaticky, když na vlastních stránkách píšou "Please do not download / upgrade the Firmware UNLESS your system has a firmware-related issue." Tak teď mají ostudu ještě větší a po zásluze, tohle není nějaká omylem zapomenutá kontrola délky řetězce, ale chyba z kategorie "What were they thinking?" (Hesla v plaintextu? Konfigurace dostupná bez autentizace?).

Do Abacusu zkusím napsat.

[Honza Jaroš]

Jo, to je pravda.

[8an]

Zajímavý článek k tématu: IPMI: Freight Train to Hell. Vina zdá se není tak úplně na straně Supermicro, ty bezpečnostní díry jsou dané specifikací od Intelu. Šílené.

[frr]

To je *hodně* dobré čtení, díky Autor se sice věnuje výhradně bezpečnostním dírám, nikoli celkové nahnilosti, ale možná to autorovi na značkových strojích prostě převážně fungovalo. Zdá se, že už to funguje i SuperMicru...

Je tam pár zajímavých poznámek k technologickému pozadí a odkazy na další čtení. Zaujalo mě například, že autor nezmiňuje AMT jako aktuální generaci/nástupce IPMI, ale jako "jinou" vývojovou větev zaměřenou na corporate desktop. Zajímavé - zase jsem o něco chytřejší.

[Nikola Ciprich]

Netuším proč, ale výše zmíněný server koupený před měsícem má novější firmware, než jaký je k dispozici na stránkách SuperMicra.

to je bohužel něco čím mě supermicro neuvěřitelně se.e. Na stránkách s firmwary je neuvěřitelný bordel, zjevně existují novější verze než jaké mají ke stažení a dostat to z nich nejde.. ani přes abacus ani napřímo..

se starýma deskama máme s IPMI moduly hrozné problémy a prakticky to řešit nejde :(

[Lubos Kopecky]

Kdyz vis, jaky fw po nich chces a jaky problem ti vyresi, tak ti ho jsou schopni poslat, i kdyz neni nikde oficialne prezentovan - ja z nich takto fw dostal.

[Nikola Ciprich]

no já jsem to věděl přesně, a dostal jsem jen info že jediné co je k dispozici je to co je na FTP a že je to už nepodporovaná deska

[8an]

Mimochodem, zkusil bych dotaz na Abacus. Netuším proč, ale výše zmíněný server koupený před měsícem má novější firmware, než jaký je k dispozici na stránkách SuperMicra. Takže pokud bych byl majitelem takovéto desky, asi bych se zkusil poptat, jestli není k dispozici neoficiální opravená verze a pokud je, proč ji nenabízejí ke stažení.

Tak už jsem zjistil proč: verze 3.x neumí převzít konfiguraci z verze 2.x (když necháte zaškrtnuté "Preserve configuration", tak IPMI po aktualizaci nenaběhne).

[alkoholik]

Jenom bych upozornil na problem s certifikaty pod vlastni CA po upgrade firmware na X8 rade.
S 2.43 nam certifikaty fungovaly bez problemu, ale s 3.13 je potreba jim propasovat do certifikatu retezec "OK". Ja ho nacpal do OU.
Viz detaily.

[Michys]

Dá se tomu zamezit pouhým updatem IPMI firmwaru na verzi 3.x. Toto je oficiální vyjádření Supermicro.

[Bedňa]

Je to smutné, ale čo vedie autorov hocičoho ukladať heslá v plaintext? Vidím to len ako zámer, nijaký iný dôvod nepoznám.

Dáš NSA dieru a tá to vyskúša na všetky tvoje kontá.

[R]

Vyvojari firmwaru su radi, ked im to nejako zacne fungovat. V tom momente manazer vyhlasi, ze to ide do predaja.

[Yenya]

No a je tady někdo, kdo má IPMI volně vystavené do Internetu, bez nějakého firewallu před ním? Stejně to obvykle bývá na nějaké samostatné mgmt VLAN, kam se nedá zvenku úplně dobře dostat.

Ostatně, podobný problém mají například u SGI - na jejich administrativní rozhraní u některých serverů se dá přihlásit přes ssh s uživatelem root bez hesla, a to heslo nejde nijak nastavit/změnit.

Tenhle typ problémů asi nikdo seriózně neřeší.

-Yenya, http://www.fi.muni.cz/~kas/blog/

[Max]

Znám člověka, co poskytuje hosting (VPS i server) pro enterprise, má venku vystrčené úplně vše, jak IPMI, tak ESXi, tak management switchů atd. Resp. v relativně nedávné době to tak ještě bylo a nedělám si iluze, že došlo ke změně.
Zdar Max

[Nikola Ciprich]

problém je když máte někde jen jeden box (který třeba sám funguje jako firewall), tak prostě ten modul na veřejnou adresu dát musíte. A starší moduly svůj firewall snad nemají.

je to bída no :(

[R]

Presne tento problem som nedavno riesil. "Vyriesil" som to zatial tak, ze som management (v tomto pripade ILO) nezapojil vobec...

[frr]

Před lety, tuším v dobách IPMI 2.0 nebo 3.0, jsem dospěl k názoru, že IPMI

1. smrdí od hlavy, tzn. od Intelu (jak standard, tak intelí referenční implementace) - protokol Serial Over LAN jede nad UDP bez retransmisí a bugy v intelích "doprovodných toolech okolo BIOSu" jsou často nad moje síly
2. snad s výjimkou správy serverů v dokonale stabilní LAN (= bez ztráty paketů) není vůbec použitelné, protože se ztrátou UDP paketu se neumí vyrovnat. Tzn. zapomeňte na IPMI over WAN/VPN
3. snažit se nalézt průchozí cestičku v této bažině je slepá ulička a ztráta času, což zjistíte po několika dnech pečlivé detektivní činnosti (= najít verze BMC firmwaru a klientských toolů, aspoň trochu funkční konfiguraci parametrů BMC v hostitelském BIOSu apod. - zejm. na motherboardech kde IPMI parazituje na některé "hlavní" LANce, nakonec to stejně celé pseudonáhodně hnije vlivem pořadí jednotlivých kroků, fáze měsíce a bůhví čeho ještě)

Možná se za poslední 4 roky něco změnilo...

[8an]

Mě se v těchto dobách (~2005) na nějakém IBM serveru nepovedlo rozběhat SOL ani po LAN. Už tehdy ale měly použitelný remote management servery od Sunu – na sériák se dalo připojit přes SSH, přes webové rozhraní se dal server restartovat a dokonce i flashovat BIOS, bylo tam i jakési KVM v Javě... Dnes už tohle konečně mají všechny servery, ale je pravda, že spíš navzdory Intelu než jeho zásluhou.

[trekker.dk]

Já před pár lety dospěl k názoru, že

1. radši zjistím, jak používat IPMI, než abych musel jezdit do serverovny
2. OpenVPN je dostatečná na to, aby se dala používat vzdálená konzole
3. programátoři firmware jsou do jednoho totálně nekompetentní na cracku závislé cvičené opice

[Radek Hladik]

Praveze u tech supermikro desek je to KVM pomerne slusne pouzitelne a de facto v cene (pri srovnani s obdobnymi deskami). Ve srovnani s temi puvodnimi IPMI je to nebe a dudy...

[R]

To "parazitujuce" IPMI som tiez nikdy nerozchodil... Odvtedy plati, ze do kazdeho doleziteho servera sa kupuje DRAC.

[Nikola Ciprich]

na nových serverech (mluvím stále o supermicro) je to už celkem slušně použitelné. problém jsou ty staré, tam jsem ve stavu že asi zlomím hůl...