Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

マザーボード管理チップに脆弱性「USBAnywhere」が判明 - 影響機器がネット上に5万台弱

Supermicro製のサーバ向けマザーボードに搭載されており、エージェントレスで管理や監視が行えるマイコンチップ「Supermicro BMC(Baseboard Management Controller)」に脆弱性「USBAnywhere」が含まれていることが明らかとなった。

20190905_ec_001.jpg
Eclypsiumが発見した「USBAnywhere」

同チップにおいて、ディスクイメージを仮想ドライブとしてサーバに接続できる「BMC/IPMI仮想メディア機能」に複数の脆弱性が明らかとなったもの。「同X11」「同X10」「同X9」が影響を受ける。

平文による認証のほか、トラフィックのほとんどが暗号化されておらず、暗号化を使用する場合も脆弱なアルゴリズムを使用。さらに認証のバイパスが可能となる脆弱性も含まれていることが明らかとなった。

いずれもEclypsiumが報告したもので、USBデバイスをインターネット経由でサーバへ仮想的に接続できることから、脆弱性を「USBAnywhere」と名付けた。

容易に悪用が可能で、関連するプロトコルを使用し、脆弱性の影響を受けると見られるシステムは、インターネット上に公開されているだけで少なくとも4万7000台にのぼると同社は指摘。警鐘を鳴らしている。

(Security NEXT - 2019/09/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Citrix ShareFile」にアクセス制御不備の脆弱性 - 早急に更新を
Adobe、「ColdFusion」「AEM」など16製品にセキュリティ更新
Google、「Chrome 93.0.4577.82」を公開 - ゼロデイ脆弱性2件などを解消
MS、月例セキュリティ更新をリリース - ゼロデイ含む脆弱性60件に対応
「Adobe Acrobat/Reader」のアップデートが公開 - 「クリティカル」含む脆弱性26件を修正
「Adobe Acrobat/Reader」に深刻な脆弱性 - アップデートがリリース
「Adobe Acrobat/Reader」にアップデート - 脆弱性19件を修正
「macOS」向けにゼロデイ脆弱性を修正するアップデート
Apple、「iOS 14.8」「iPadOS 14.8」を公開 - 悪用報告ある脆弱性2件を修正
「EC-CUBE」の一覧画面をカスタマイズするプラグインに脆弱性