Michel Et L'informatique

Une faille dans le BMC affecte les serveurs Lenovo, Intel et Supermicro depuis 6 ans

Par Michel-tanner , le 12 avril 2024 , mis à jour le 12 avril 2024 - 3 minutes de lecture

Les serveurs Lenovo, Intel et Supermicro sont touchés par une faille de sécurité depuis maintenant 6 ans. Cette vulnérabilité concerne le Baseboard Management Controller (BMC), un microcontrôleur intégré sur la carte mère de certains serveurs. Son rôle est de faciliter la gestion et la surveillance à distance du serveur, en utilisant un serveur Web tel que Lighttpd.

Des chercheurs en sécurité de chez Binarly ont récemment découvert une faille dans la version de Lighttpd utilisée par les contrôleurs BMC. Cette faille permettrait à un attaquant de récupérer des adresses mémoire de processus, ce qui pourrait compromettre certaines fonctions de sécurité comme l’ASLR (Address Space Layout Randomization).

Malheureusement, cette faille a été corrigée discrètement en août 2018 par les mainteneurs du projet Lighttpd, sans même avoir été référencée avec un CVE. En conséquence, les développeurs d’AMI MegaRAC BMC n’ont pas intégré ce correctif, ce qui a un impact sur la chaîne d’approvisionnement des serveurs Lenovo, Intel et Supermicro.

Plusieurs modèles de serveurs sont touchés par cette faille de sécurité. Par exemple, la version 01.04.0030 du micrologiciel de la série M70KLP d’Intel utilisant Lighttpd version 1.4.45 est vulnérable. De même, la version 2.88.58 du firmware Lenovo BMC utilisée dans les modèles de serveurs Lenovo HX3710, HX3710-F et HX2710-E est également affectée. Il existe également une vulnérabilité générale dans les versions antérieures à 1.4.51 de Lighttpd.

Malheureusement, tous les serveurs ne bénéficieront pas d’un correctif, car certains modèles ne sont plus pris en charge. Par exemple, l’Intel Server System M70KLP a été abandonné en février 2024, ce qui réduit considérablement les options de protection.

Il est important de souligner qu’il y a encore un nombre important d’interfaces BMC vulnérables et accessibles sur Internet, correspondant à du matériel en fin de vie qui restera vulnérable. Cela soulève des inquiétudes quant à la sécurité des données et à la confidentialité des utilisateurs.

Il est crucial pour les fabricants, les vendeurs de serveurs et les clients de prendre des mesures pour remédier à cette faille de sécurité. Cela peut inclure la mise à jour des micrologiciels, le remplacement des serveurs obsolètes ou l’ajout de mesures de sécurité supplémentaires.

En conclusion, le fait que cette faille de sécurité du BMC affecte les serveurs Lenovo, Intel et Supermicro depuis 6 ans souligne l’importance de la transparence et de la vigilance en matière de sécurité informatique. Il est essentiel de rester à jour avec les correctifs et de mettre en place des pratiques de sécurité solides pour protéger les données et prévenir les attaques potentielles.

Comment retrouver des SMS effacés sur votre téléphone ?