Une faille critique trouvée dans le microcontrôleur MegaRAC d'AMI

Régulièrement des brèches de sécurité sont découvertes dans les BMC (baseboard management controller). Il s’agit microcontrôleur indépendant présent sur les cartes mères des serveurs qui permet une gestion de secours. Les BMC s'apparentent à de petits ordinateurs qui exécutent leur propre firmware, indépendamment de l'ordinateur principal, en l’occurrence le serveur lui-même. En l’espèce, des chercheurs ont trouvé une faille critique dans le BMC MegaRAC d’American Megatrends (AMI) présent chez plusieurs fabricants de serveurs.

Des attaquants peuvent exploiter cette faiblesse pour contourner l'authentification et prendre le contrôle de serveurs via l'interface de gestion Redfish. « L'exploitation de cette vulnérabilité donne à un attaquant la capacité de contrôler à distance le serveur compromis, de déployer à distance des logiciels malveillants, des ransomwares, d'altérer les microprogrammes, de bloquer les composants de la carte mère (BMC ou potentiellement BIOS/UEFI), d'endommager physiquement le serveur (surtension/blocage) et d'effectuer des boucles de redémarrage indéfinies impossibles à arrêter », indiquent dans leur rapport les chercheurs de l’entreprise Eclypsium, spécialisée dans la sécurité des micrologiciels. C’est la huitième vulnérabilité découverte par les experts dans MegaRAC d'AMI. Les administrateurs peuvent accéder aux BMC à distance via l'interface IPMI (Intelligent Platform Management Interface) ou Redfish, une API RESTful standardisée, pour effectuer des tâches de maintenance et de diagnostic, notamment la réinstallation des systèmes d'exploitation, le redémarrage des serveurs, le déploiement de mises à jour du firmware, etc.

Une faille découverte lors de l'analyse d'un correctif précédent

C’est en analysant le correctif d'AMI qui devait corriger un problème similaire de contournement d'authentification (CVE-2023-34329) signalé en 2023 par les mêmes chercheurs que ces derniers sont tombés sur une autre vulnérabilité, qui porte désormais la référence CVE-2024-54085. Les deux failles sont situées dans l'implémentation de l'API Redfish et peuvent être exploitées en modifiant les en-têtes de requête HTTP. Ce dernier problème affecte des versions de MegaRAC SP-X pouvant remonter au 27 août 2024, ce que les chercheurs ont confirmé sur plusieurs versions du serveur HPE Cray XD670 utilisé pour la formation de grands modèles de langage et le traitement du langage naturel, sur des serveurs Asus RS720A-E11-RS24U et sur une baie de stockage flash non spécifiée MegaRAC SP-X est utilisé par de nombreux fabricants de serveurs et les produits de plus d'une douzaine de fournisseurs sont susceptibles d'être affectés.

La vulnérabilité est localisée dans le script host-interface-support-module.lua de l'interface Redfish, en particulier dans la manière dont les valeurs des en-têtes « X-Server-Addr » et « Host » sont validées à l'intérieur des requêtes. Le serveur web lighttpd ajoutera toujours une valeur X-Server-Addr avec l'adresse IP de l'instance Redfish, cependant une vérification de la chaîne est effectuée sur cette valeur dans le code en utilisant une expression régulière qui extrait tout ce qui se trouve avant le premier caractère ':'. La valeur extraite est ensuite comparée aux valeurs de la base de données, dont celles des adresses IP.

Les chercheurs ont réalisé que s'ils ajoutent 169.254.0.17: au début de cette valeur d'en-tête dans la requête, l'adresse IP sera extraite et, puisqu'elle est présente dans la base de données Redfish, l'authentification sera ignorée. Dans certaines configurations autres que celles par défaut, des adresses IP supplémentaires peuvent être présentes dans la base de données, par exemple 192.168.31.2, et elles peuvent également être utilisées comme valeurs pour contourner l'authentification. Dans un PoC contre le serveur HPE Cray XD670 version 1.17, les chercheurs ont utilisé le contournement de l'authentification pour accéder à l'API de création de compte Redfish et créer un utilisateur avec des privilèges d'administrateur. Celui-ci aura alors accès à toutes les fonctions du BMC à distance.

Des risques graves et négligés pour les BMC

En utilisant le moteur de recherche Shodan, les experts ont trouvé plus de 1 000 instances MegaRAC SP-X Redfish exposées à Internet potentiellement vulnérables. Cependant, cette vulnérabilité peut aussi être exploitée via des réseaux locaux sans que Redfish ne soit exposé à Internet. En raison de la position privilégiée qu'occupent les BMC sur le système d'exploitation hôte, les attaquants pourraient exploiter ces failles pour déployer des rootkits et des malwares hautement persistants en vue d'un cyberespionnage à long terme, en réinfectant le système d'exploitation même après avoir été complètement effacé et restauré. Les BMC permettent même aux administrateurs d'envoyer à distance des événements clavier au système d'exploitation, comme s'ils se trouvaient physiquement sur la machine, et ces actions seraient impossibles à bloquer par les solutions de protection des endpoints.

Les BMC pourraient également être utilisés dans des scénarios de type ransomware, les serveurs étant perturbés d'une manière dont il est très difficile de se remettre. « Dans les attaques perturbatrices ou destructrices, les attaquants peuvent tirer parti des environnements souvent hétérogènes des centres de données pour envoyer des commandes malveillantes à tous les autres BMC sur le même segment de gestion, forçant ainsi tous les appareils à redémarrer continuellement et impossible à arrêter par les opérateurs victimes », ont alerté les spécialistes d'Eclypsium. « Dans des scénarios extrêmes, l'impact net pourrait être un temps d'arrêt indéfini et irrécupérable jusqu'au réapprovisionnement des appareils ». Cela fait plus d’une décennie que les attaquants s’intéressent aux vulnérabilités et aux mauvaises configurations des BMC, y compris les identifiants codés en dur. En 2022, des chercheurs en sécurité ont découvert un implant malveillant baptisé iLOBleed, probablement développé par un groupe APT et déployé via des vulnérabilités dans la BMC iLO (Integrated Lights-Out de HPE). En 2018, un groupe de ransomware appelé JungleSec a utilisé des identifiants par défaut pour les interfaces IPMI afin de compromettre des serveurs Linux. En 2016, la fonction Serial-over-LAN (SOL) de la technologie de gestion active Active Management Technology (AMT) d'Intel, qui fait partie du moteur de gestion Management Engine du fournisseur a été exploitée par un groupe APT comme canal de communication secret pour transférer des fichiers.

Les fabricants OEM et de serveurs, responsables des correctifs

AMI a diffusé un avis et des correctifs à ses partenaires OEM, mais les utilisateurs concernés doivent attendre que les fabricants de leurs serveurs les intègrent et publient des mises à jour du micrologiciel. En plus de cette vulnérabilité, AMI a également corrigé une faille référencée CVE-2024-54084 qui peut conduire à l'exécution de code arbitraire dans son implémentation AptioV UEFI. HPE et Lenovo ont déjà publié des mises à jour de leurs produits intégrant le correctif d'AMI pour la vulnérabilité CVE-2024-54085.