Sektörden Haberler

Belirlenen Ürün Yazılımı Hatası, OT ve IoT Cihazlarını Uzaktan Saldırılara Açık Hale Getiriyor

28 Kasım 2022

Dünyanın önde gelen Network cihaz üreticisi olan Lanner'ın anakart yönetim denetleyici (BMC) ürün yazılımında, operasyonel teknoloji (OT) ve nesnelerin interneti (IoT) ağlarını uzaktan saldırılara maruz bırakabilecek bir düzineden fazla güvenlik açığı keşfedilmiştir.

BMC çip üzerinde sistem (SoC) anlamına gelmektedir ve sunucu anakartlarında bulunan ve bellek güncelleme ve güç kontrolü gibi düşük seviyeli sistem işlemlerinin gerçekleştirilmesi de dahil olmak üzere bir sistemin uzaktan izlenmesi ve yönetimi için kullanılmaktadır.

Tayvanlı satıcı Lanner Electronics’in Akıllı Platform Yönetim Arayüzü ( IPMC ) Nozomi Networks tarafından analiz edilerek, IAC-AST2500'ü etkileyen 13 zayıf noktanın ortaya çıkardığı açıklanmıştır.

1.00.0 sürümünü etkileyen, CVE-2021-4228 dışındaki, tüm sorunlar standart üretici yazılımının 1.10.0 sürümünü etkilemektedir. Kusurlardan dördü (CVE-2021-26727'den CVE-2021-26730'a kadar) CVSS puanlama sisteminde 10 üzerinden 10 olarak derecelendirilmiştir.

Endüstriyel güvenlik şirketi, özellikle, web arayüzündeki bir erişim kontrol hatası olan CVE-2021-44467'nin, root ayrıcalıklarıyla BMC'de uzaktan kod yürütülmesini sağlamak için bir arabellek taşma kusuru olan CVE-2021-26728 ile zincirlenebileceğini bulmuştur.

Şirket, geçen hafta yayınlanan bir yazıda, “Ayrıca, tüm işlemlerin root ayrıcalıklarıyla çalıştığı düşünüldüğünde, kimliği doğrulanmamış bir saldırganın hem BMC'yi hem de yönetilen ana bilgisayarı tamamen tehlikeye atmasına olanak tanıdığını” belirtmiştir.

Lanner, güvenlik açığının ortaya çıkmasının ardından söz konusu güvenlik açıklarını gideren güncellenmiş bir üretici yazılımı yayınlamıştır.

Araştırmacılar tarafından BMC'lerin, BT'de olduğu kadar OT/IoT alanında da fiziksel erişim gerektirmeden bilgisayar sistemlerini uygun bir şekilde izlemek ve yönetmek için çekici bir yol sunduğu belirtilmiştir.

Fakat kullanışlı olmalarının yanında yeterince korunmadıkları takdirde genel riskin artmasına neden olmaktadırlar.

 

 

Kaynak:   https://thehackernews.com/2022/11/over-dozen-new-bmc-firmware-flaws.html