Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

マザーボード管理チップに脆弱性「USBAnywhere」が判明 - 影響機器がネット上に5万台弱

Supermicro製のサーバ向けマザーボードに搭載されており、エージェントレスで管理や監視が行えるマイコンチップ「Supermicro BMC(Baseboard Management Controller)」に脆弱性「USBAnywhere」が含まれていることが明らかとなった。

20190905_ec_001.jpg
Eclypsiumが発見した「USBAnywhere」

同チップにおいて、ディスクイメージを仮想ドライブとしてサーバに接続できる「BMC/IPMI仮想メディア機能」に複数の脆弱性が明らかとなったもの。「同X11」「同X10」「同X9」が影響を受ける。

平文による認証のほか、トラフィックのほとんどが暗号化されておらず、暗号化を使用する場合も脆弱なアルゴリズムを使用。さらに認証のバイパスが可能となる脆弱性も含まれていることが明らかとなった。

いずれもEclypsiumが報告したもので、USBデバイスをインターネット経由でサーバへ仮想的に接続できることから、脆弱性を「USBAnywhere」と名付けた。

容易に悪用が可能で、関連するプロトコルを使用し、脆弱性の影響を受けると見られるシステムは、インターネット上に公開されているだけで少なくとも4万7000台にのぼると同社は指摘。警鐘を鳴らしている。

(Security NEXT - 2019/09/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

Cisco、セキュリティアドバイザリ9件を公開 - 「Blast-RADIUS」の影響も
「Cisco SSM」に深刻な脆弱性 - 攻撃者によりパスワード変更可能
「Magento」「VMware vCenter」など脆弱性3件の悪用を確認 - 米当局が注意喚起
「Apache HTTPD」が今月3度目のセキュリティアップデート
SonicWallのVPN関連で複数の脆弱性 - アップデートが公開
「Apache HugeGraph」の深刻な脆弱性を狙うアクセスが増加
「Java SE」に複数の脆弱性 - アップデートで修正
Ivantiがアドバイザリを公開 - エンドポイント管理製品などに脆弱性
「Apache Airflow」に脆弱性 - アップデートが公開
Cisco製メールセキュリティ製品に添付ファイルで攻撃できる深刻な脆弱性