\n<\/aside>\n<\/p>\n
El hardware vendido durante a\u00f1os por empresas como Intel y Lenovo contiene una vulnerabilidad explotable de forma remota que nunca se solucionar\u00e1. La causa: un problema en la cadena de suministro que involucr\u00f3 un paquete de software y hardware de c\u00f3digo abierto de m\u00faltiples fabricantes que lo incorporaron directa o indirectamente a sus productos.<\/p>\n
Investigadores de la firma de seguridad Binarly han confirmado que el error ha provocado que Intel, Lenovo y Supermicro env\u00eden hardware de servidor que contiene una vulnerabilidad que puede explotarse para revelar informaci\u00f3n cr\u00edtica para la seguridad. Sin embargo, los investigadores advirtieron que cualquier hardware que incorpore ciertas generaciones de controladores de administraci\u00f3n de placa base fabricados por AMI con sede en Duluth, Georgia o AETN con sede en Taiw\u00e1n tambi\u00e9n se ve afectado.<\/p>\n
Cadena de tontos<\/h2>\n Los BMC son peque\u00f1as computadoras soldadas a la placa base de los servidores que permiten a los centros en la nube, y a veces a sus clientes, agilizar la administraci\u00f3n remota de vastas flotas de servidores. Permiten a los administradores reinstalar sistemas operativos, instalar y desinstalar aplicaciones de forma remota y controlar casi todos los dem\u00e1s aspectos del sistema, incluso cuando est\u00e1 apagado. Los BMC proporcionan lo que en la industria se conoce como gesti\u00f3n de sistemas \u201csin luces\u201d. AMI y AETN son dos de varios fabricantes de BMC.<\/p>\n
Durante a\u00f1os, BMC de m\u00faltiples fabricantes han incorporado versiones vulnerables de software de c\u00f3digo abierto conocido como lighttpd. Lighttpd es un servidor web r\u00e1pido y liviano que es compatible con varias plataformas de hardware y software. Se utiliza en todo tipo de productos, incluso en dispositivos integrados como BMC, para permitir a los administradores remotos controlar servidores de forma remota con solicitudes HTTP.<\/p>\n
En 2018, los desarrolladores de lighttpd lanzaron una nueva versi\u00f3n que solucionaba \u00abvarios escenarios de uso despu\u00e9s de la liberaci\u00f3n\u00bb, una vaga referencia a una clase de vulnerabilidad que puede explotarse de forma remota para alterar las funciones de memoria sensibles a la seguridad del software afectado. A pesar de la descripci\u00f3n, la actualizaci\u00f3n no utiliz\u00f3 la palabra \u00abvulnerabilidad\u00bb y no incluy\u00f3 un n\u00famero de seguimiento de vulnerabilidad CVE como es habitual.<\/p>\n\n Anuncio <\/span> <\/p>\n<\/aside>\nLos fabricantes de BMC, incluidos AMI y ATEN, estaban utilizando versiones afectadas de lighttpd cuando se solucion\u00f3 la vulnerabilidad y continuaron haci\u00e9ndolo durante a\u00f1os, dijeron los investigadores de Binarly. Los fabricantes de servidores, a su vez, continuaron instalando BMC vulnerables en su hardware durante el mismo per\u00edodo de varios a\u00f1os. Binarly ha identificado tres de esos fabricantes de servidores: Intel, Lenovo y Supermicro. El hardware vendido por Intel el a\u00f1o pasado se ve afectado. Binarly dijo que tanto Intel como Lenovo no tienen planes de publicar correcciones porque ya no admiten el hardware afectado. Los productos afectados de Supermicro siguen siendo compatibles.<\/p>\n
\u00abTodos estos a\u00f1os, [the lighttpd vulnerability] \u00abEstaba presente dentro del firmware y a nadie le import\u00f3 actualizar uno de los componentes de terceros utilizados para crear esta imagen de firmware\u00bb, escribieron los investigadores de Binarly el jueves. \u201cEste es otro ejemplo perfecto de inconsistencias en la cadena de suministro de firmware. Un componente de terceros muy desactualizado presente en la \u00faltima versi\u00f3n del firmware, lo que genera un riesgo adicional para los usuarios finales. \u00bfHay m\u00e1s sistemas que utilizan la versi\u00f3n vulnerable de lighttpd en toda la industria?<\/p>\n
Derrotando a ASLR<\/h2>\n La vulnerabilidad permite a los piratas inform\u00e1ticos identificar las direcciones de memoria responsables de manejar funciones clave. Los sistemas operativos se esfuerzan por aleatorizar y ocultar estas ubicaciones para que no puedan usarse en vulnerabilidades de software. Al encadenar un exploit para la vulnerabilidad lighttpd con una vulnerabilidad separada, los piratas inform\u00e1ticos podr\u00edan anular esta protecci\u00f3n est\u00e1ndar, que se conoce como aleatorizaci\u00f3n del dise\u00f1o del espacio de direcciones. El encadenamiento de dos o m\u00e1s exploits se ha convertido en una caracter\u00edstica com\u00fan de los ataques de pirater\u00eda hoy en d\u00eda, a medida que los fabricantes de software contin\u00faan agregando protecciones antiexplotaci\u00f3n a su c\u00f3digo.<\/p>\n
Es dif\u00edcil rastrear la cadena de suministro de m\u00faltiples BMC utilizados en m\u00faltiples servidores. Hasta ahora, Binarly ha identificado el BMC MegaRAC de AMI como uno de los BMC vulnerables. La empresa de seguridad ha confirmado que el AMI BMC est\u00e1 contenido en el hardware Intel Server System M70KLP. La informaci\u00f3n sobre BMC de ATEN o hardware de Lenovo y Supermicro no est\u00e1 disponible en este momento. La vulnerabilidad est\u00e1 presente en cualquier hardware que utilice las versiones 1.4.35, 1.4.45 y 1.4.51 de lighttpd.<\/p>\n