A empresa de segurança de firmware Eclypsium disse que as duas deficiências foram retidas até agora para fornecer à AMI tempo adicional para projetar as mitigações apropriadas.
Os problemas, rastreados coletivamente como BMC&C , podem servir de trampolim para ataques cibernéticos, permitindo que os agentes de ameaças obtenham execução remota de código e acesso não autorizado a dispositivos com permissões de superusuário.
As duas novas falhas em questão são as seguintes –
Especificamente, descobriu-se que o MegaRAC usa o algoritmo de hash MD5 com um salt global para dispositivos mais antigos, ou SHA-512 com sais por usuário em aparelhos mais novos, permitindo potencialmente que um agente de ameaça quebre as senhas.
O CVE-2022-26872, por outro lado, utiliza uma API HTTP para enganar um usuário a iniciar uma redefinição de senha por meio de um ataque de engenharia social e definir uma senha de escolha do adversário.
CVE-2022-26872 e CVE-2022-40258 se somam a três outras vulnerabilidades divulgadas em dezembro, incluindo CVE-2022-40259 (pontuação CVSS: 9,9), CVE-2022-40242 (pontuação CVSS: 8,3) e CVE-2022- 2827 (pontuação CVSS: 7,5).
Vale ressaltar que os pontos fracos são exploráveis apenas em cenários em que os BMCs estão expostos à Internet ou em casos em que o agente da ameaça já obteve acesso inicial a um data center ou rede administrativa por outros métodos.
O raio de explosão da BMC&C é atualmente desconhecido, mas a Eclypsium disse que está trabalhando com a AMI e outras partes para determinar o escopo dos produtos e serviços afetados.
Gigabyte, Hewlett Packard Enterprise, Intel e Lenovo lançaram atualizações para corrigir os defeitos de segurança em seus dispositivos. Espera – se que a NVIDIA envie uma correção em maio de 2023.
“O impacto da exploração dessas vulnerabilidades inclui controle remoto de servidores comprometidos, implantação remota de malware, ransomware e implantes de firmware e danos físicos ao servidor (bricking)”, observou Eclypsium.
Fonte: https://thehackernews.com/
Pesquisa com 1.131 usuários do Character.AI e 464 mil mensagens doadas encontrou associação entre uso…
Modelo de mistura de especialistas ativa 95 bilhões de parâmetros por token e traz rastros…
Relatório técnico da Microsoft com nove universidades descreve um runtime que mantém estado durável entre…
Injeção de SQL em campo de autocompletar levou invasores a compilar um kit Java como…
Microsoft rastreou mais de 250 domínios que só mostram a isca a quem parece usar…
Sistema agêntico da Unit 42 varreu 3.915 projetos em dois meses e reportou 14.090 falhas…