AMI’nin Megarac süpürgelik yönetim kontrolörü (BMC) yazılımında, bir saldırganın kimlik doğrulamasını atlamasına ve sömürme sonrası eylemleri gerçekleştirmesine izin verebilecek kritik bir güvenlik açığı açıklanmıştır.
Güvenlik açığı, CVE-2024-54085maksimum ciddiyeti gösteren 10.0 CVSS V4 skoru taşır.
Hacker News ile paylaşılan bir raporda, “Yerel veya uzak bir saldırgan, uzak yönetim arayüzlerine (Redfish) veya dahili ana bilgisayara BMC arayüzüne (Redfish) erişerek güvenlik açığından yararlanabilir.” Dedi.
“Bu güvenlik açığının kullanılması, bir saldırganın uzlaşmış sunucuyu uzaktan kontrol etmesini, kötü amaçlı yazılım, fidye yazılımı, ürün yazılımı kurcalama, tuğla anakart bileşenleri (BMC veya potansiyel olarak bios / uefi), potansiyel sunucu fiziksel hasarı (aşırı voltaj / tuvalet) ve bir kurbanın durduramayacağı” sağlar.
Güvenlik açığı, yıkıcı saldırılara karşı silahlandırılabilir ve bu da duyarlı cihazların kötü amaçlı komutlar göndererek sürekli olarak yeniden başlatılmasına neden olabilir. Bu, cihazlar yeniden sağlanana kadar belirsiz kesinti süresinin yolunu açabilir.
CVE-2024-54085, Aralık 2022’den bu yana AMI Megarac BMC’lerde ortaya çıkarılan uzun bir güvenlik eksiklikleri listesindeki en sonuncusudur.
Eclypsium, CVE-2024-54085’in CVE-2023-34329’a benzer olduğunu, çünkü benzer bir etkiye sahip bir kimlik doğrulama baypasına izin verdiğini belirtti. Güvenlik açığının aşağıdaki cihazları etkilediği doğrulanmıştır –
- HPE Cray XD670
- ASUS RS720A-E11-RS24U
- Asal
AMI, 11 Mart 2025 itibariyle kusuru ele almak için yamalar yayınladı. Sorunun vahşi doğada kullanıldığına dair bir kanıt olmasa da, OEM satıcıları bu düzeltmeleri dahil ettikten ve müşterilerine bıraktıktan sonra aşağı akış kullanıcılarının sistemlerini güncellemeleri önemlidir.
Eclypsium, “Bu güvenlik açıklarını yamalamanın, cihaz kesinti süresi gerektiren önemsiz olmayan bir egzersiz olduğunu unutmayın.” Dedi. “Güvenlik açığı sadece AMI’nin BMC yazılım yığınını etkiler. Ancak, AMI BIOS tedarik zincirinin tepesinde olduğundan, aşağı akış etkisi bir düzineden fazla üreticiyi etkiler.”