AMI MegaRAC BMC 软件存在多个严重漏洞，可触发供应链攻击

AMI MegaRAC Baseboard Management Controller (BMC) 软件中存在两个漏洞，可用于远程访问易受攻击的服务器并部署恶意软件。

Eclypsium 公司的研究员 Vlad Babkin 和 Scott Scheferman 在报告中提到，“这些新漏洞的严重程度从高危到严重不等，包括未认证的远程代码执行和以超级用户权限越权访问设备等。攻击者如能访问 Redfish 远程管理接口即可利用这些漏洞，或从受陷主机操作系统实施利用。”

更糟糕的是，这些漏洞可被武器化以释放持久的固件植入，这些植入免疫于操作系统重装和硬盘驱动替换、可使母板组件崩溃，通过高强度攻击造成物理损坏并触发无限重启循环。

研究人员指出，“攻击者的关注点从面向用户的操作系统转到硬件和计算信任所依赖的更底层的嵌入式代码，使得攻陷更难以检测而修复的复杂度呈指数级增长。”

此前，AMI MegaRAC BMC 受一系列漏洞影响，它们被统称为 “BMC&C”，其中一些在2022年12月披露（CVE-2022-40259、CVE-2022-40242和CVE-2022-2827）和2023年2月披露（CVE-2022-26872和CVE-2022-40258）。

本次新披露的漏洞包括：

如被组合利用，则这两个漏洞的严重性评分为10.0分，可使攻击者绕过 Redfish 认证并通过最高权限在 BMC 芯片上执行任意代码。另外，这些漏洞可结合CVE-2022-40258 破解 BMC 芯片上管理员账户的密码。

值得注意的是，这类攻击可导致安装恶意软件以执行长期的网络间谍活动，同时躲避安全软件的检测，更不用说执行横向移动甚至通过电源管理篡改技术如 PMFault 等破坏 CPU。

研究人员表示，“这些漏洞为构成云计算基础的技术供应链带来严重风险。简言之，组件供应商中的漏洞影响很多硬件厂商，之后被传递给很多云服务。这些漏洞可为组织机构直接拥有的服务器和硬件以及支撑所使用云服务的硬件带来风险。”