Sicherheitslücke in HPE Integrated Lights-out 2, 3, 4

Noch ein Nachtrag für Leute, die HPE Integrated Lights-Out 2, 3, 4 (iLO2, iLO3, iLO4) und HPE Superdome Flex RMC von HP Enterprise einsetzen. Es gibt eine potentielle Sicherheitslücke in diesen Produkten.

Verwendet jemand von euch die Verwaltungssoftware Integrated Lights-out für HP-Proliant-Server? Bereits Anfang Februar 2018 wurde bekannt, dass es in HPE Integrated Lights-Out 2, 3, 4 (iLO2, iLO3, iLO4) und HPE Superdome Flex RMC eine potentielle Sicherheitslücke CVE-2013-4786 gibt. Die Information findet sich auf seclist.org und HP hat dieses Security Bulletin (gelöscht) dazu herausgegeben.

Sicherheitslücke in folgenden Produkten

In HPE Integrated Lights-Out 2, 3, 4 (iLO2, iLO3, iLO4) und HPE Superdome Flex RMC wurde eine potenzielle Sicherheitslücke identifiziert. Die Sicherheitslücke könnte ausgenutzt werden, um einem Angreifer die Möglichkeit zu geben, sich unautorisierte Privilegien und unautorisierten Zugriff auf privilegierte Informationen zu verschaffen. Betroffen sind folgende Produkte:

• HPE Superdome Flex Server 1.0
• HPE Integrated Lights-Out 4 (iLO 4) Firmware for ProLiant Gen8 Servers – All, when IPMI is enabled
• HPE Integrated Lights-Out 3 (iLO 3) Firmware for ProLiant G7 Servers – All, when IPMI is enabled
• HPE Integrated Lights-Out 2 (iLO 2) Firmware for ProLiant G6 Servers – All, when IPMI is enabled

HP schreibt, dass es keine Lösung für dieses Problem gibt. Der Authentifizierungsprozess für die IPMI 2.0-Spezifikation verlangt, dass der Server vor der Authentifizierung des Clients einen salted SHA1- oder MD5-Hash des Kennworts des angeforderten Benutzers an den Client sendet. Das BMC gibt den Passwort-Hash für jedes angeforderte gültige Benutzerkonto zurück. Dieser Passwort-Hash kann durch einen Offline-Brute-Force- oder Wörterbuch-Angriff gebrochen werden.

Kein Update, aber Gegenmaßnahmen

Da diese Funktionalität ein wesentlicher Bestandteil der IPMI 2.0-Spezifikation ist, gibt es keine Möglichkeit, das Problem zu beheben, ohne von der IPMI 2.0-Spezifikation abzuweichen. HP empfiehlt die folgenden Maßnahmen, um das damit verbundene Risiko zu minimieren:

• Wenn Sie IPMI nicht benötigen, deaktivieren Sie es. Sie können IPMI auf iLO2/3/4 mit dem Befehl Disable IPMI over LAN deaktivieren.
• Pflegen Sie die neueste iLO-Firmware, die die neuesten Sicherheitspatches enthält, in die Produkte ein.
• Setzen Sie Best Practices bei der Verwaltung der Protokolle und Passwörter auf Ihren Systemen und Netzwerken ein. Verwenden Sie, wo immer möglich, sichere Passwörter.

Wenn Sie IPMI verwenden müssen, setzen Sie auf ein separates LAN-Management oder VLAN, Access Control Lists (ACLs) oder VPN, um den Zugriff auf Ihre iLO-Management-Schnittstellen einzuschränken und einzuschränken. Ist irgend jemand von euch betroffen und hat euch die Information nicht erreicht?

Ähnliche Artikel:
Sicherheitslücke in HPE Integrated Lights-out 4 (iLO 4)
Sicherheitslücke in Kaspersky Secure Mail Gateway 1.1