Kerentanan BMC Mengekspos Server Supermicro ke Remote USB-Attacks

Server perusahaan yang ditenagai oleh motherboard Supermicro dari jarak jauh dapat dikompromikan dengan memasang perangkat USB yang berbahaya, kata peneliti cybersecurity di perusahaan keamanan firmware Eclypsium kepada The Hacker News.

Ya itu benar. Anda dapat meluncurkan semua jenis serangan USB terhadap server Supermicro yang rentan tanpa benar-benar mengaksesnya secara fisik atau menunggu korban Anda untuk mengambil drive USB yang tidak dikenal dan tidak dipercaya dan hubungkan ke komputer mereka.

Dijuluki secara kolektif "USBAnywhere, "serangan itu memanfaatkan beberapa kerentanan yang baru ditemukan dalam firmware pengendali BMC yang dapat membiarkan penyerang jarak jauh yang tidak sah terhubung ke server Supermicro dan secara virtual memasang perangkat USB berbahaya.

Dilengkapi dengan mayoritas chipset server, baseboard management controller (BMC) adalah chip perangkat keras yang merupakan inti dari utilitas Intelligent Platform Management Interface (IPMI) yang memungkinkan sysadmin untuk mengontrol dan memonitor server dari jarak jauh tanpa harus mengakses sistem operasi atau aplikasi yang berjalan di atasnya.

Dengan kata lain, BMC adalah sistem manajemen out-of-band yang memungkinkan admin untuk reboot perangkat, menganalisis log, menginstal sistem operasi, dan memperbarui firmware dari jarak jauh – menjadikannya salah satu komponen yang paling istimewa dalam teknologi perusahaan saat ini.

Salah satu kemampuan BMC tersebut termasuk memasang media virtual untuk menghubungkan gambar disk sebagai CD-ROM USB virtual atau floppy drive dengan server jarak jauh.

Menurut laporan yang diterbitkan hari ini oleh Eclypsium dan dibagikan dengan The Hacker News sebelum publikasi, BMC pada platform Supermicro X9, X10, dan X11 menggunakan implementasi yang tidak aman untuk mengautentikasi klien dan mengangkut paket USB antara klien dan server.

Kelemahan ini, yang tercantum di bawah ini, dapat dengan mudah dieksploitasi oleh penyerang jarak jauh untuk mem-bypass proses otentikasi melalui mendengarkan layanan media virtual pada port TCP 623 atau mencegat lalu lintas untuk memulihkan kredensial BMC yang dienkripsi lemah atau kredensial yang sepenuhnya tidak terenkripsi.

• Otentikasi Plaintext
• Lalu Lintas Jaringan Tidak Terenkripsi
• Enkripsi yang lemah
• Bypass Otentikasi (hanya platform X10 dan X11)

"Ketika diakses dari jarak jauh, layanan media virtual memungkinkan otentikasi plaintext, mengirimkan sebagian besar lalu lintas tidak terenkripsi, menggunakan algoritma enkripsi yang lemah untuk sisanya, dan rentan terhadap bypass otentikasi," para peneliti menjelaskan.

"Masalah-masalah ini memungkinkan penyerang untuk dengan mudah mendapatkan akses ke server, baik dengan menangkap paket otentikasi pengguna yang sah, menggunakan kredensial default, dan dalam beberapa kasus, tanpa kredensial sama sekali."

Setelah terhubung, layanan media virtual yang dikompromikan memungkinkan penyerang berinteraksi dengan sistem host sebagai perangkat USB mentah, memungkinkan mereka untuk melakukan segala sesuatu yang dapat dilakukan dengan akses fisik ke port USB, termasuk:

• exfiltrasi data,
• implan malware
• booting dari gambar OS yang tidak dipercaya,
• manipulasi langsung sistem melalui keyboard dan mouse virtual, dan
• menonaktifkan perangkat sepenuhnya.

Menurut para peneliti, pemindaian port TCP 623 di Internet mengungkapkan lebih dari 47.000 BMC dari lebih dari 90 negara yang berbeda dengan layanan media virtual firmware BMC yang terpengaruh dapat diakses oleh publik.

Selain mengeksploitasi BMC di mana layanan media virtual langsung terpapar di Internet, kelemahan ini juga dapat dieksploitasi oleh penyerang dengan akses ke jaringan perusahaan tertutup atau penyerang man-in-the-middle dalam jaringan sisi klien.

Para peneliti melaporkan temuan mereka ke Supermicro pada bulan Juni dan Juli tahun ini. Perusahaan mengakui masalah pada bulan Agustus dan secara terbuka merilis pembaruan firmware untuk platform X9, X10 dan X11 mereka sebelum 3 September.

Karena itu, organisasi didorong untuk memperbarui firmware BMC mereka sesegera mungkin. Selain itu, penting untuk memastikan bahwa BMC tidak boleh secara langsung terpapar ke Internet, karena paparan langsung ke Internet sangat meningkatkan kemungkinan serangan tersebut.