Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
Сообщение от opennews (??) on 03-Июн-18, 10:44
Компания Huawei раскрыла (http://www.huawei.com/en/psirt/all-bulletins) информацию о нескольких уязвимостях в своих серверных системах. Некоторые из выявленных проблем позволяют получить доступ к оболочке BMC-контроллера без прохождения аутентификации и повысить свои привилегии в системе. Проблемы присутствуют в различных моделях серверов Huawei линейки XH, RH и CH, оснащённых чипом iBMC (Intelligent Baseboard Management Controller). iBMC предоставляет управляющий интерфейс для низкоуровневого доступа к серверу в обход операционной системы, позволяющий управлять прошивками и дисками, загрузить собственную ОС по сети, организовать работу консоли удалённого доступа. Для устранения проблем уже выпущены обновления прошивок. -  CVE-2018-7949 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - возможность получить привилегированный доступ к iBMC через отправку специального оформленного сетевого запроса. Проблема вызвана недоработкой в механизме аутентификации и позволяет постороннему сменить пароль привилегированных пользователей управляющего интерфейса; -   CVE-2018-7950, CVE-2018-7951 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...), CVE-2018-7902, CVE-2018-7903 и CVE-2018-7904 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - отсутствие должной проверки корректности входных данных в iBMC позволяет аутентифицрованному атакующему осуществить подстановку данных в формате JSON и изменить пароль администратора, получив полный доступ к управляющему интерфейсу; -  CVE-2018-7942 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - уязвимость может привести к утечке информации из iBMC при отправке специально оформленных сетевых запросов; -  CVE-2018-7941 (http://www.huawei.com/en/psirt/security-advisories/huawei-sa...) - аутентифицированный атакующий с низким уровнем привилегий может через отправку специально оформленного сообщения повысить свои полномочия до администратора. URL: http://www.huawei.com/en/psirt/all-bulletins Новость: https://www.opennet.dev/opennews/art.shtml?num=48707
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+6 +/–
Сообщение от Аноним (??) on 03-Июн-18, 10:44
Офицер китайского АНБ поставил галочку в плане по развёртыванию системы глобальной технической разведки. Этап "раскрытие информации об отдельных зондах под видом исправления уязвимостей с целью сокрытия оставшихся и внедрения новых под видом обновлений" выполнен.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+4 +/–
Сообщение от Аноним (??) on 03-Июн-18, 11:01
Интересно, в своих серверах Huawei тоже смену прошивки запретит?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
	Сообщение от Аноним (??) on 03-Июн-18, 14:00
	Главное, чтобы автообновление прошивки не добавили.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	13. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	–1 +/–
	Сообщение от Andrey Mitrofanov on 03-Июн-18, 17:32
	> Интересно, в своих серверах Huawei тоже смену прошивки запретит? Не! Интересно, будут ди они делать _нефикшенные_ BMC _в телефонах_ завместо крайнего "прекращения предоставления разблокировки для". Удобство ж амнимистроринивая!
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	–3 +/–
Сообщение от Аноним (??) on 03-Июн-18, 11:48
Опыт ZTE заставил Huawei заняться(скорее делать вид) проблемами безопасности.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	20. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	–1 +/–
	Сообщение от Michael Shigorin (ok) on 04-Июн-18, 02:08
	> Опыт ZTE заставил Huawei А кого чем заставил заниматься опыт Samsung? (особей, лепечующих туфту про "уголки" -- сразу исключаем из)
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	23. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
	Сообщение от Аноним (??) on 04-Июн-18, 18:44
	> А кого чем заставил заниматься опыт Samsung? А что с Samsung-ом? Samsung на китайскую разведку вряд ли работает. А на ZTE был большой наезд со стороны американского правительства. Да такой, что дело шло к банкротсту. А основной претензией были множественные дыры в системах безопасности. И на Huawei тоже был наезд, но не такой масштабный. Huawei после этого и начал "чухаться". А ZTE ещё предстоит выбираться из этой задницы. Им штраф около $1.7 ядра ещё предстоит выплатить.
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

	24. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
	Сообщение от Аноним (??) on 04-Июн-18, 18:51
	ADD: Про Иран и КНДР я в курсе. Но это скорее повод, а не истинная причина.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

5. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+10 +/–
Сообщение от Аноним (??) on 03-Июн-18, 11:54
Нет в мире гномов, единорогов и недырявых BMC. Поэтому нужно обеспечивать их безопасность путем ограничения доступа - например, держать все BMC в серых сетях, доступных через VPN.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	22. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+1 +/–
	Сообщение от Аноним (??) on 04-Июн-18, 10:24
	Про гномов еще можно поспорить =)
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

6. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	–2 +/–
Сообщение от Аноним (??) on 03-Июн-18, 13:08
Ну а что вы хотели от китайцев? "Зато дёшево!"
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	11. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+1 +/–
	Сообщение от Аноним (??) on 03-Июн-18, 15:30
	Почитай рассылки любого производителя серверного оборудования. Там таких багов вагон и тележка. Ну а что вы хотели от американцев? Зато дёшево!
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	12. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+3 +/–
	Сообщение от 1 (??) on 03-Июн-18, 17:20
	Зато дорого!(fixed.)
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	10. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
	Сообщение от Аноним (??) on 03-Июн-18, 15:03
	Тут все думают куда валить с Гитхаба после покупки Майкрософтом, а ты всех тянеш опять на Гитхаб...
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

18. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+1 +/–
Сообщение от Аноним (??) on 03-Июн-18, 23:21
А вы, что, BMC в принципе через публичный инет доступным держите?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	21. "Серия уязвимостей в BMC-контроллерах серверов Huawei"	+/–
	Сообщение от Аноним (??) on 04-Июн-18, 10:15
	А что-бы было доступно есть прорехи в другом оборудовании :)
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема