BMC của Intel và Lenovo chứa lỗ hổng máy chủ Lighttpd chưa được vá

www.tuoitre.vn -   11/04/2024 08:00:00 37

Một lỗ hổng bảo mật ảnh hưởng đến máy chủ web Lighttpd được sử dụng trong bộ điều khiển quản lý ván chân tường (BMC) vẫn chưa được vá bởi các nhà cung cấp thiết bị như Intel và Lenovo, những phát hiện mới từ Binarly tiết lộ.

BMC của Intel và Lenovo chứa lỗ hổng máy chủ Lighttpd chưa được vá

Mặc dù thiếu sót ban đầu đã được Lighttpd phát hiện và vá từ tháng 8 năm 2018 với phiên bản 1.4.51, việc thiếu mã định danh CVE hoặc lời khuyên có nghĩa là nó đã bị các nhà phát triển AMI MegaRAC BMC bỏ qua, cuối cùng xuất hiện trong các sản phẩm được sản xuất. của Intel và Lenovo.

Lighttpd (phát âm là "Lighty") là phần mềm máy chủ web hiệu suất cao nguồn mở được thiết kế nhằm đảm bảo tốc độ, bảo mật và tính linh hoạt, đồng thời được tối ưu hóa cho môi trường hiệu suất cao mà không tiêu tốn nhiều tài nguyên hệ thống.

Bản sửa lỗi thầm lặng cho Lighttpd liên quan đến lỗ hổng đọc ngoài giới hạn có thể bị khai thác để lấy cắp dữ liệu nhạy cảm, chẳng hạn như xử lý địa chỉ bộ nhớ, từ đó cho phép các tác nhân đe dọa bỏ qua các cơ chế bảo mật quan trọng như ngẫu nhiên bố cục không gian địa chỉ (ASLR).

Công ty bảo mật phần mềm cho biết: “Việc thiếu thông tin kịp thời và quan trọng về các bản sửa lỗi bảo mật sẽ ngăn cản việc xử lý đúng cách các bản sửa lỗi này trong cả chuỗi cung ứng phần sụn và phần mềm”.

Các lỗ hổng bảo mật được mô tả dưới đây -

Đọc ngoài giới hạn trong Lighttpd 1.4.45 được sử dụng trong chương trình cơ sở dòng Intel M70KLP

Đọc ngoài giới hạn trong Lighttpd 1.4.35 được sử dụng trong phần mềm Lenovo BMC

Đọc ngoài giới hạn trong Lighttpd trước 1.4.51

Intel và Lenovo đã chọn không giải quyết vấn đề vì các sản phẩm có chứa phiên bản dễ bị tấn công của Lighttpd đã đạt trạng thái hết hạn sử dụng (EoL) và không còn đủ điều kiện nhận các bản cập nhật bảo mật, khiến lỗi này trở thành lỗi vĩnh viễn.

Tiết lộ nêu bật sự hiện diện của các thành phần lỗi thời của bên thứ ba trong phiên bản phần sụn mới nhất có thể đi qua chuỗi cung ứng và gây ra rủi ro bảo mật ngoài ý muốn cho người dùng cuối.

Binarly cho biết thêm: “Đây là một lỗ hổng khác sẽ không được khắc phục mãi mãi trong một số sản phẩm và sẽ gây ra rủi ro ảnh hưởng lớn đến ngành trong một thời gian rất dài”.

Hương – Theo TheHackerNews

TIN CÙNG CHUYÊN MỤC

Nhiều trang web chống virus giả mạo này ...

31/05/2024 08:00:00 176
Các chuyên gia bảo mật đã quan sát thấy các tác nhân đe dọa sử dụng các trang web giả mạo giả dạng g...

Top mười từ khóa trên Google không nên t...

31/05/2024 12:00:00 145
Dưới đây là những từ khóa được khuyến cáo không nên tìm kiếm trên Google.

Các nhà nghiên cứu phát hiện hoạt động k...

30/05/2024 08:00:00 148
Các nhà nghiên cứu an ninh mạng đã cảnh báo rằng nhiều lỗ hổng bảo mật có mức độ nghiêm trọng cao tr...

Nội dung của người dùng sẽ bị Facebook t...

30/05/2024 12:00:00 126
Nội dung công khai của người dùng – không phải tin nhắn riêng tư – sẽ được Meta sử dụng để đào tạo v...

Microsoft cảnh báo về sự gia tăng các cu...

29/05/2024 08:00:00 130
Microsoft đã nhấn mạnh sự cần thiết phải bảo mật các thiết bị công nghệ vận hành (OT) có kết nối int...

Elon Musk tố dữ liệu người dùng trên Wha...

29/05/2024 12:00:00 78
Elon Musk tuyên bố rằng WhatsApp xuất tất cả dữ liệu người dùng mỗi đêm, vi phạm quyền riêng tư nghi...
Xem thêm

LIÊN HỆ

Thông tin liên hệ