Une faille dans le BMC affecte les serveurs Lenovo, Intel et Supermicro depuis 6 ans
Les serveurs Lenovo, Intel et Supermicro sont touchés par une faille de sécurité depuis maintenant 6 ans. Cette vulnérabilité concerne le Baseboard Management Controller (BMC), un microcontrôleur intégré sur la carte mère de certains serveurs. Son rôle est de faciliter la gestion et la surveillance à distance du serveur, en utilisant un serveur Web tel que Lighttpd. Des chercheurs en sécurité de chez Binarly ont récemment découvert une faille dans la version de Lighttpd utilisée par les contrôleurs BMC. Cette faille permettrait à un attaquant de récupérer des adresses mémoire de processus, ce qui pourrait compromettre certaines fonctions de sécurité comme l’ASLR (Address Space Layout Randomization). Malheureusement, cette faille a été corrigée discrètement en août 2018 par les mainteneurs du projet Lighttpd, sans même avoir été référencée avec un CVE. En conséquence, les développeurs d’AMI MegaRAC BMC n’ont pas intégré ce correctif, ce qui a un impact sur la chaîne d’approvisionnement des serveurs Lenovo, Intel et Supermicro. Plusieurs modèles de serveurs sont touchés par cette…
