BMC là các hệ thống độc lập có đặc quyền trong các máy chủ, được sử dụng để kiểm soát cài đặt phần cứng và quản lý hệ điều hành máy chủ, ngay cả khi máy tính bị tắt nguồn. Những khả năng này khiến BMC trở thành mục tiêu hấp dẫn với tin tặc.
Một số nhà sản xuất máy chủ lớn được biết là đã sử dụng MegaRAC BMC bao gồm AMD, Ampere Computing, Arm, ASRock, Asus, Dell EMC, GIGABYTE, Hewlett Packard Enterprise, Huawei, Lenovo, Nvidia, Qualcomm, Quanta và Tyan.
Được gọi chung là BMC&C, các lỗ hổng có thể bị khai thác bởi tin tặc có quyền truy cập vào các giao diện quản lý từ xa (IPMI), để giành quyền kiểm soát hệ thống và gây nguy hại cho cơ sở hạ tầng đám mây.
Lỗ hổng nghiêm trọng nhất có định danh CVE-2022-40259 có điểm CVSS 9,9, cho phép thực thi mã tùy ý thông qua API Redfish. Để khai thác lỗ hổng này, tin tặc phải có truy cập tối thiểu trên thiết bị (đặc quyền Callback hoặc cao hơn).
Lỗ hổng thứ hai với định danh CVE-2022-40242, có điểm CVSS 8,3 liên quan đến hàm băm cho người dùng quản trị hệ thống. Lỗ hổng có thể bị lạm dụng để có quyền truy cập trình quản trị.
CVE-2022-2827 có điểm CVSS 7,5 là một lỗ hổng trong tính năng đặt lại mật khẩu, có thể bị khai thác để xác định tài khoản với tên người dùng cụ thể có tồn tại hay không. Lỗ hổng này cho phép xác định chính xác người dùng đã có từ trước, tuy không dẫn đến truy cập shell nhưng sẽ cung cấp cho tin tặc một danh sách mục tiêu cho các cuộc tấn công brute-force.
Phát hiện này một lần nữa nhấn mạnh tầm quan trọng của việc bảo mật chuỗi cung ứng firmware và đảm bảo rằng các hệ thống BMC không được công khai trên Internet.
Triệu Yến
16:00 | 30/11/2022
16:00 | 30/11/2022
15:00 | 24/11/2022
09:00 | 01/02/2025
Redis - Hệ thống lưu trữ dữ liệu NoSQL mã nguồn mở phổ biến vừa phát hiện tồn tại 2 lỗ hổng bảo mật đe dọa đến hàng triệu người dùng.
09:00 | 23/01/2025
Mới đây, các chuyên gia an ninh mạng đã phát đi cảnh báo liên quan đến chiến dịch lừa đảo trên nền tảng nhắn tin, gọi điện miễn phí và được mã hóa 2 chiều Signal.
08:00 | 16/12/2024
Ngày 3/12, Trung tâm An ninh mạng quốc gia Anh (NCSC) vừa công bố đánh giá thường niên cho thấy các cuộc tấn công mạng nghiêm trọng nhằm vào các tổ chức và công ty của nước này trong 12 tháng qua đã tăng gấp 3 lần năm 2023, trong đó có các sự cố lớn ảnh hưởng đến các bệnh viện ở London và Thư viện quốc gia Anh.
09:00 | 08/11/2024
Các chuyên gia phát hiện ra 02 lỗ hổng Zero-day trong camera PTZOptics định danh CVE-2024-8956 và CVE-2024-8957 sau khi Sift - công cụ chuyên phát hiện rủi ro an ninh mạng sử dụng AI tìm ra hoạt động bất thường chưa từng được ghi nhận trước đó trên mạng honeypot của công ty này.
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
10:00 | 06/02/2025