มีการเปิดเผยช่องโหว่ด้านความปลอดภัยระดับ Critical ในซอฟต์แวร์ MegaRAC Baseboard Management Controller (BMC) ของ AMI ที่อาจทำให้ผู้โจมตีสามารถ bypass การยืนยันตัวตน และดำเนินการโจมตีหลังจากเจาะระบบได้

ช่องโหว่นี้มีหมายเลข CVE-2024-54085 และมีคะแนน CVSS v4 ที่ระดับ 10.0 แสดงให้เห็นถึงระดับความรุนแรงขั้นสูงสุด

บริษัทด้านความปลอดภัยเฟิร์มแวร์ Eclypsium ให้ข้อมูลกับ The Hacker News โดยระบุว่า "ผู้โจมตีทั้งจากภายใน และภายนอกเครือข่ายสามารถใช้ช่องโหว่นี้ได้ผ่าน remote management interfaces (Redfish) หรือโฮสต์ภายในที่เชื่อมต่อกับอินเตอร์เฟซของ BMC (Redfish)"

"การใช้ช่องโหว่นี้ทำให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์ที่ถูกโจมตีจากระยะไกลได้ โดยติดตั้งมัลแวร์ หรือแรนซัมแวร์จากระยะไกล, แก้ไขเฟิร์มแวร์ ทำให้ชิ้นส่วนของเมนบอร์ด (BMC หรืออาจรวมถึง BIOS/UEFI) ไม่สามารถใช้งานได้ รวมถึงอาจก่อให้เกิดความเสียหายทาง physical กับเซิร์ฟเวอร์ (เช่น แรงดันไฟฟ้าเกิน หรือทำให้ใช้งานไม่ได้โดยสิ้นเชิง) และสร้าง reboot loops ที่เหยื่อไม่สามารถหยุดได้"

ช่องโหว่นี้ยังสามารถถูกนำไปใช้เพื่อก่อกวนระบบ โดยทำให้อุปกรณ์ที่ได้รับผลกระทบ reboot อย่างต่อเนื่องผ่านคำสั่งที่เป็นอันตราย ซึ่งอาจนำไปสู่การหยุดทำงานของระบบแบบไม่มีกำหนด จนกว่าอุปกรณ์ หรือฮาร์ดแวร์นั้นจะถูกตั้งค่าใหม่ทั้งหมด

CVE-2024-54085 เป็นช่องโหว่ในรายการล่าสุดของจำนวนช่องโหว่ที่ถูกพบใน AMI MegaRAC BMCs ตั้งแต่เดือนธันวาคม 2022 โดยทั้งหมดถูกระบุภายใต้ชื่อ BMC&C :

CVE-2022-40259 - ช่องโหว่ Arbitrary Code Execution ผ่าน Redfish API
CVE-2022-40242 - ช่องโหว่ Default credentials เพื่อเข้าถึง UID = 0 shell ผ่าน SSH
CVE-2022-2827 - ช่องโหว่ User enumeration ผ่าน API
CVE-2022-26872 - ช่องโหว่ Password reset interception ผ่าน API
CVE-2022-40258 - ช่องโหว่ Weak password hashes สำหรับ Redfish & API
CVE-2023-34329 - ช่องโหว่ Authentication Bypass ผ่าน HTTP Header Spoofing
CVE-2023-34330 - ช่องโหว่ Code injection ผ่าน Dynamic Redfish Extension interface

Eclypsium ระบุว่า CVE-2024-54085 มีความคล้ายคลึงกับ CVE-2023-34329 เนื่องจากช่องโหว่ทั้งสองรายการสามารถใช้เพื่อ bypass การยืนยันตัวตนได้ และก่อให้เกิดผลกระทบในลักษณะเดียวกัน โดยช่องโหว่นี้ได้รับการยืนยันว่าส่งผลกระทบต่ออุปกรณ์ดังต่อไปนี้ :

HPE Cray XD670
Asus RS720A-E11-RS24U
ASRockRack

AMI ได้ออกแพตช์แก้ไขช่องโหว่นี้แล้วเมื่อวันที่ 11 มีนาคม 2025 ที่ผ่านมา แม้ว่าจะยังไม่มีหลักฐานว่าช่องโหว่ดังกล่าวกำลังถูกนำไปใช้ในการโจมตีจริง แต่ผู้ใช้งานควรอัปเดตระบบของตนทันทีที่ผู้ผลิต หรือผู้จำหน่าย OEM ได้ออกแพตช์แก้ไขช่องโหว่เหล่านี้ และปล่อยอัปเดตให้กับลูกค้า

ตอนนี้ทั้ง HPE และ Lenovo ได้ปล่อยแพตช์อัปเดตด้านความปลอดภัยสำหรับผลิตภัณฑ์ของพวกเขาแล้ว และรวมถึงการแก้ไขช่องโหว่ CVE-2024-54085 จาก AMI อีกด้วย

Eclypsium ระบุเพิ่มเติมว่า "การติดตั้งแพตช์สำหรับช่องโหว่เหล่านี้ไม่ใช่เรื่องง่าย เนื่องจากจะต้องมีการหยุดการทำงานของอุปกรณ์ โดยช่องโหว่นี้ส่งผลกระทบเฉพาะกับซอฟต์แวร์ BMC ของ AMI อย่างไรก็ตาม เนื่องจาก AMI เป็นหัวใจสำคัญของ BIOS supply chain ผลกระทบจึงตกไปที่ผู้ผลิต หรือผู้จำหน่ายฮาร์ดแวร์มากกว่า"

ที่มา : thehackernews

นักวิจัยออกเตือนถึงการใช้อิมเมจ AMI ที่อาจจะถูกแฝงมัลแวร์ไว้

นักวิจัยด้านความปลอดภัยจาก Mitiga ได้ออกเตือนปัญหาเกี่ยวกับ Amazon Machine Images (AMI) ที่มีผู้แอบเเฝงโค้ดที่เป็นอันตรายซึ่งอาจส่งผลกระทบต่อคลาวด์ขององค์กรหรือบริษัท

นักวิจัยจาก Mitiga ตรวจพบว่าเซิร์ฟเวอร์ Elastic Compute Cloud (EC2) ของลูกค้าบริษัทกำลังเรียกเรียกใช้โค้ดที่ไม่เหมาะสม ซึ่งจากการตรวจสอบพบมี Cryptocurrency miner ทำงานอยู่ในอินสแตนท์ และไม่พบร่องรอยของการบุกรุกของการใช้ประโยชน์จากช่องโหว่ใดๆ โดยนักวิจัยคาดว่าสิ่งเเปลกปลอมที่พบนั้นถูกฝังมาจากขึ้นตอนการสร้างอิมเมจของเซิร์ฟเวอร์ EC2 ที่ให้ผู้ใช้ดึงมาใช้งานจาก Community AMI เเห่งหนึ่ง

โดยปกติแล้ว AMIs นั้นมีให้บริการผ่าน AWS Marketplace ซึ่งเป็นเเหล่งที่รวบรวมอิมเมจของเซิร์ฟเวอร์มาให้บริการ ซึ่งจากการตรวจสอบอิมเมจเซิร์ฟเวอร์ Microsoft Windows Server 2008 ที่แฝง Cryptocurrency miner ไว้นั้นมาจากผู้ให้บริการที่ไม่ที่ไม่รู้จัก ด้วยเหตุนี้นักวิจัยจึงออกเเจ้งเตือนถึงผู้ใช้งานให้ระมัดระวังในการใช้งานอิมเมจเซิร์ฟเวอร์จากผู้ให้บริการที่ไม่ที่ไม่รู้จัก เพราะอาจเป็นอิมเมจเซิร์ฟเวอร์ของผู้ประสงค์ร้ายที่พยายามกระจายอิมเมจเซิร์ฟเวอร์ที่เป็นอันตรายเพื่อกระจาย Backdoor ที่สามารถใช้ในการลักลอบเข้ามาทำอันตรายต่อเซิร์ฟเวอร์ได้ ซึ่งอาจทำให้เกิดความเสียหายและมีผลกระทบต่อคลาวด์ของงองค์กรหรือบริษัท

ทั้งนี้นักวิจัยด้านความปลอดภัยได้ออกคำเเนะนำให้ผู้ใช้ AWS ที่เลือกใช้ AMI Community จากแหล่งที่เชื่อถือได้เช่น AWS Marketplace ซึ่งอาจจะมีค่าใช้จ่ายแต่ก็สามารถลดความเสี่ยงจากภัยคุกความได้ นอกจากนี้ผู้ใช้ควรทำการใช้ Sandboxed ก่อนเพื่อทำการตรวจสอบความปลอดภัยก่อนทำการใช้งานในธุรกิจจริงๆ

ที่มา: bleepingcomputer.