本次披露的漏洞影响基板管理控制器 (BMC)，联想、技嘉及其他制造商生产的服务器均面临风险。
安全公司 Eclypsium 探索流行服务器系统固件漏洞，其新发布的报告详细描述了漏洞致固件攻击风险的情况。
研究人员在测试过程中发现联想 ThinkServer RD340 固件基板管理控制器存在两个严重漏洞。
该公司在博客文章中警告道：该设备是搭载了英特尔第三代 Core i 系列处理器 Ivy Bridge 的双路 1U 机架服务器，2014 年发售，BMC 采用信驊科技 (ASPEED) 公司 AST2300 板载显卡。
然而，进一步调查发现，该有问题的固件源自第三方产品 MergePoint 嵌入式管理软件 (EMS)，由 Avocent (现为维谛技术 (Vertiv)) 制造。
令人担忧的是，该有漏洞的软件广泛应用在其他电子设备中，包括很大一部分的技嘉企业服务器。
技嘉公司还为开发其他设备的小型系统集成商提供主板，令其他机型也存在风险隐忧。
宏碁、AMAX、Bigtera、Ciara、Penguin Computing 和 sysGen 等多家供应商也采用了该受感染的软件。
研究人员在分析过程中发现了两个影响 BMC 固件的严重漏洞。Eclypsium 称，第一个漏洞意味着 MergePoint EMS 的 BMC 固件更新过程未在接受更新并写入串行外设接口 (SPI) 闪存之前执行加密签名验证。
第二个漏洞则是命令注入漏洞，影响 BMC 中负责执行固件更新的代码。
Eclypsium 解释称：两个漏洞都可致具管理员权限的攻击者（比如通过利用其他主机漏洞提权）在 BMC 中以 root 权限执行任意代码，对 BMC 的串行外设接口 (SPI) 闪存做出永久性更改。
对 BMC 固件的恶意更改能使攻击者在系统中长期驻留，挺过操作系统重装等常见事件响应方法。
Eclypsium 补充道，攻击者甚至能 “通过软件机制修改 BMC 中环境以防止后续固件更新，令攻击者切实具备了通过软件方法永久禁用 BMC 的能力。”
该公司声称：修复系统的唯一办法是用 Dediprog 或其他 SPI 闪存编程器物理重写 SPI 芯片。
得知漏洞存在后，联想发布了固件更新以解决指令注入问题。技嘉最近发布的固件也经过了更新，修复了指令注入漏洞。
Eclypsium 报告：
https://eclypsium.com/2019/07/16/vulnerable-firmware-in-the-supply-chain-of-enterprise-servers/
联想固件更新：
https://support.lenovo.com/us/en/solutions/LEN-23836
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
