Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Удалённо эксплуатируемая уязвимость в серверных материнских платах Intel"	+/–
Сообщение от opennews (??), 12-Авг-20, 10:53
Компания Intel сообщила об устранении 22 уявзимостей в прошивках своих серверных материнских плат, серверных систем и вычислительных модулей. Три уязвимости, одной из которых которых присвоен критический уровень, (CVE-2020-8708 - CVSS 9.6, CVE-2020-8707 - CVSS 8.3, CVE-2020-8706) проявляется в прошивке BMC-контроллера Emulex Pilot 3, применяемого в продуктах Intel. Уязвимости позволяют без аутентификации получить доступ к консоли удалённого управления (KVM), обойти аутентификацию при эмуляции USB-устройств хранения и вызвать удалённое переполнение буфера в применяемом в BMC окружении Linux... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=53535
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 12-Авг-20, 10:53	+13 +/–
Даже китайские бэкдоры не нужны - Интел всё сама сделала.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24, #50

2. Сообщение от Аноним (2), 12-Авг-20, 11:04	+22 +/–
>Intel сообщила об устранении 22 уявзимостей в прошивках своих серверных материнских плат Вот что утечка данных животворящая делает.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4

3. Сообщение от Аноним (3), 12-Авг-20, 11:05	–1 +/–
Главная проблема, это то, что можно удалённо сервера выключать или перегружать.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #25, #37, #61

4. Сообщение от Аноним (4), 12-Авг-20, 11:08	+11 +/–
Тоже подумал: бекдоры утекли. придётся от части из них отказаться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

5. Сообщение от InuYasha (??), 12-Авг-20, 11:10	+1 +/–
А что там у ASPEED и прочих?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16

6. Сообщение от m.makhno (ok), 12-Авг-20, 11:13	–1 +/–
жаль, что нет никаких прошивок от проекта coreboot к серверным платам
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #9, #28, #35

7. Сообщение от Аноним (7), 12-Авг-20, 11:16	+8 +/–
Зонд выполняет функции зонда. Ну надо же! Ах, да. Не те кабанчики в огород влезли. Уязвимость!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14

8. Сообщение от Аноним (8), 12-Авг-20, 11:18	+3 +/–
Уже есть https://www.opennet.ru/opennews/art.shtml?num=51240
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #10

9. Сообщение от Anonim (??), 12-Авг-20, 11:21	+2 +/–
https://github.com/openbmc/openbmc
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #11, #44, #56

10. Сообщение от m.makhno (ok), 12-Авг-20, 11:28	+3 +/–
спасибо за уточнение! я смотрел вот этот список < https://doc.coreboot.org/mainboard/index.html >
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

11. Сообщение от m.makhno (ok), 12-Авг-20, 11:32	–1 +/–
эм... это ж вроде просто ещё один дистрибутив GNU/Linux
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #13, #15

12. Сообщение от rioko (?), 12-Авг-20, 11:36	+6 +/–
ну вот а обвиняли Huawei :) а оно вишь чо, Михалыч.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26

13. Сообщение от Аноним (13), 12-Авг-20, 11:59	+4 +/–
Ну так в интеловском BMC тоже "просто ещё один дистрибутив Linux".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

14. Сообщение от macfaq (?), 12-Авг-20, 12:22	+1 +/–
BMC это чуть из другой оперы. Из той, когда нужно ресетнуть зависший намертво сервер, стоящий где-то в заднице мира за 10/50/100/200 км от текущей локации.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #19, #20

15. Сообщение от Anonim (??), 12-Авг-20, 12:23	+2 +/–
Ну так BIOS/UEFI и BMC - это разные, параллельно существующие сущности. Coreboot это опенсорсный биос, а openbmc - опенсорсный BMC. Чистый и красивый корбут ничем не спасёт от дырявого BMC, это не в их компетенции.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

16. Сообщение от Anonim (??), 12-Авг-20, 12:28	+/–
У Aspeed всё хорошо https://www.broadcom.com/aspeed А остальных - кто ещё есть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #43

17. Сообщение от Admin (??), 12-Авг-20, 12:31	+1 +/–
Если ищешь - всегда найдёшь. Без дыр ПО не бывает по определению (просто вы пока их не нашли)
Ответить | Правка | Наверх | Cообщить модератору

18. Сообщение от ryoken (ok), 12-Авг-20, 12:32	+17 +/–
>> " Более того, по словам выявившего уязвимость исследователя работать с BMC через эксплоит гораздо удобнее, чем при помощи штатного Java-клиента." "Громкие, продолжительные овации" :D.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #38, #42, #54

19. Сообщение от ryoken (ok), 12-Авг-20, 12:33	+1 +/–
Какой-то у вас глобус мелковатый :).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #51

20. Сообщение от пох. (?), 12-Авг-20, 13:00	+3 +/–
Ну вот, теперь его может ресетнуть не только владелец, но и любой васян - и даже не дожидаясь, пока зависнет. В принципе, у кого bmc в паблик-интернет торчит - наверное, должны же страдать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #22, #36

21. Сообщение от YetAnotherOnanym (ok), 12-Авг-20, 13:28	+2 +/–
Да уж, давно таких весёлых новостей не было.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

22. Сообщение от ryoken (ok), 12-Авг-20, 13:36	+/–
> В принципе, у кого bmc в паблик-интернет торчит - наверное, должны же > страдать? Убейте, не пойму, зачем оно наружу вообще может быть выпущено? Или на то какие-то очень серьёзные основания должны быть, или наоборот - разгильдяйство.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #23, #71

23. Сообщение от пох. (?), 12-Авг-20, 13:43	+/–
> Убейте, не пойму, зачем оно наружу вообще может быть выпущено? облачкаааа, белагривые лашарики... Админ нинужна, нужна девляпс и побольше. Ну или ты сам предоставляешь - тогда клиентам как-то надо дать возможность порулить сервером (не самому ж среди ночи бегать им ресет жмакать), а скриптовать неохота, да и kvm иногда тоже нужно дать... Правда, истории что ушлые клиенты оставляли после себя "обновленный" bios с закладками, уже вроде бы давно должны были заставить штирлицев слегка насторожиться, но, я уверен, если натравить shodan на нужные сервисы - найдется преизрядно торчащих.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

24. Сообщение от Аноним (24), 12-Авг-20, 13:44	+11 +/–
Но санкции будут, конечно, на Хуавей.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #52

25. Сообщение от Аноним (24), 12-Авг-20, 13:49	+1 +/–
> проблема цель
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

26. Сообщение от Аноним (24), 12-Авг-20, 13:52	+3 +/–
Ждём, когда ЕС откажется от Интела :) и наложит санкции на Штаты. А Тайвань прекратит принимать от Интела заказы... Ой, "это другое!" (с)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

27. Сообщение от Иваня (?), 12-Авг-20, 13:54	+/–
Ненавижу их! Сколько можно уже плодить уязвимости. Наймите наконец профессионалов!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #29, #31, #40

28. Сообщение от Аноним (28), 12-Авг-20, 14:33	–5 +/–
>coreboot Нeнужнo. Мы как-нибудь с нормальной человеческой проприетарщинкой перекантуемся. 🤣😁😁😁
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #45

29. Сообщение от Аноним (29), 12-Авг-20, 15:12	+2 +/–
дак отправь им резюме
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #30

30. Сообщение от Иваня (?), 12-Авг-20, 15:17	–2 +/–
Я им не нужен, так как пишу на Golang
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #46

31. Сообщение от Аноним (31), 12-Авг-20, 15:24	+1 +/–
"Короновирус" подкосил ряды профессионалов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #47

32. Сообщение от Аноним (-), 12-Авг-20, 16:31	+1 +/–
Если бы это было что-то из Китая, то были бы крики "Это же бэкдор!!!11". Вот видите, видите! Это все спецслужбы Китая! Запретить, санкции!!! Ну тут это незначительная ошибка. Ничего страшного. Бывает. Все могут ошибаться. Никто не идеален.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #41

33. Сообщение от Корец (?), 12-Авг-20, 16:42	+1 +/–
>Компания Intel сообщила об устранении 22 уявзимостей в прошивках своих серверных >уявзимостей Исправьте опечатку.
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от Михрютка (ok), 12-Авг-20, 17:13	+1 +/–
>>>Напомним, что BMC представляет собой устанавливаемый в серверах специализированный контроллер, имеющий свой CPU, память, хранилище и интерфейсы опроса датчиков, который предоставляет низкоуровневый интерфейс для мониторинга и управления серверным оборудованием. спасибо редакции, а то я старый пень запамятовал
Ответить | Правка | Наверх | Cообщить модератору

35. Сообщение от Аноним (35), 12-Авг-20, 17:14	+3 +/–
была ASUS KGPE-D16 на двух шестнадцатиядерных AMD Opteron и ещё несколько серверных плат. Их, к сожалению, дропнули из коребута, но можно поставить его более старую версию 4.11.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #57

36. Сообщение от Михрютка (ok), 12-Авг-20, 17:20	+1 +/–
обязаны. я, будучи саппортом для таких клиентов, еще и тормоза специально включал, чтоб они еще больше страдали.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

37. Сообщение от Michael Shigorin (ok), 12-Авг-20, 18:53	–4 +/–
Смеётесь, что ли?  Это заметно и поправимо как раз.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

38. Сообщение от Michael Shigorin (ok), 12-Авг-20, 18:55	+/–
Спасибо за точную формулировку!  Это ж как его допекло-то...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

39. Сообщение от Аноним (40), 12-Авг-20, 20:05	–1 +/–
Можно было найти собственный бэкдор и свалить все на китайцев изи
Ответить | Правка | Наверх | Cообщить модератору

40. Сообщение от Аноним (40), 12-Авг-20, 20:06	+/–
За дыры больше платят
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

41. Сообщение от Siborgium (ok), 12-Авг-20, 20:20	+2 +/–
Классно вы приплели Китай туда, где о нем не было ни слова. +15 социальных кредитов за такое мастерство.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #48, #49

42. Сообщение от anonymous yet another (?), 12-Авг-20, 20:22	+1 +/–
О боги! Но ведь он прав! (слово "гораздо" не совсем отражает те неудобства, которые я испытал, запуская эту $%^%#&# джаву для доступа к BMC).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #68

43. Сообщение от Аноним (43), 12-Авг-20, 20:25	+/–
Тадам - вот эти чуваки из новости сбоку! https://www.opennet.ru/opennews/art.shtml?num=53435
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #55

44. Сообщение от Аноним (43), 12-Авг-20, 20:26	+/–
Да вон тут сбоку есть в новости, внезапно :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

45. Сообщение от Аноним (43), 12-Авг-20, 20:28	+/–
Скорее, тебя через нее малость покантуют всякие школоло, решившие что халявный дедик - то что надо. Тем более что достаточно найти только 1 такого лоха. На нем можно zmap запустить и через денек у школьника будет уже целый дармовый CDN с облаками.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

46. Сообщение от Аноним (43), 12-Авг-20, 20:30	+/–
Ггг, то-есть сам писать такую фигню ты не умеешь, но критиканить горазд. Образцовый игогошечка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #69

47. Сообщение от Аноним (43), 12-Авг-20, 20:31	–1 +/–
-250 в мозилле, кто больше?! Ща, всех игогошечек и прочих вебмартышек основательно проредит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #70

48. Сообщение от Аноним (43), 12-Авг-20, 20:32	+/–
Да китай тоже неплохо справляется. Купите вон на алиэкспрес китайский роутер да изучите траф. А если совсем храбрые то и китаезное фирмваре.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

49. Сообщение от Аноним (49), 12-Авг-20, 21:07	+/–
О! А вот и защитники АНБ пришли. Держите свои 15 центов. Мы же понимаем, что "Это другое!".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

50. Сообщение от iPony129412 (?), 12-Авг-20, 21:19	–3 +/–
Зачем нужны китайские бэкдоры если есть американские? Спецслужбы мира дружат между собой невзирая на политику.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #59

51. Сообщение от macfaq (?), 12-Авг-20, 21:30	+/–
На "подальше" старались иметь специально обученного негра по месту.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #67

52. Сообщение от китайский_зонд (?), 12-Авг-20, 22:13	+6 +/–
Тому что в хуавее бекдор это даже не ошибка, а часть функционала. Я не понимаю как можно сопротивляться за хуавей в интернете или хотябы пользоваться этими зондами с легким налетом функциональности. Хуавеем нельзя было пользоваться и до санкций, нельзя и после.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #62, #65, #76

54. Сообщение от онанимуз (?), 12-Авг-20, 22:35	+/–
жиза прям жизейшая.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

55. Сообщение от InuYasha (??), 12-Авг-20, 22:37	+/–
> У Aspeed всё хорошо https://www.broadcom.com/aspeed *поперхнулся глядя на имя домена* "хорошо"?! > Тадам - вот эти чуваки А эти-то здесь причём? У них свой внешний продукт.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #64

56. Сообщение от InuYasha (??), 12-Авг-20, 22:38	+/–
> https://github.com/openbmc/openbmc нашёл под свой БМК, спасибо!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

57. Сообщение от InuYasha (??), 12-Авг-20, 22:40	+/–
> была ASUS KGPE-D16 на двух шестнадцатиядерных AMD Opteron и ещё несколько серверных > плат. Их, к сожалению, дропнули из коребута, но можно поставить его > более старую версию 4.11. Когда это их дропнули!? Просто перестало обновляться же??
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #58

58. Сообщение от InuYasha (??), 12-Авг-20, 22:46	+/–
Кстати, там же ASPEED на ASUS iKVM. А ещё - surprise! - ASUS выложили исходники прошивки БМК на своём сайте. Да, я сам охренел. А потом ещё раз охренел качать эти архивы оттуда. А потом совсем охренел когда подумал как это можно собрать. В общем, охренительные истории.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

59. Сообщение от Odalist (?), 12-Авг-20, 22:51	+/–
Мне однажды бэкдор засунули. Еле избавился.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #63

61. Сообщение от Аноним (61), 13-Авг-20, 01:22	+1 +/–
> Главная проблема, это то, что можно удалённо сервера выключать или перегружать. Предпочитаете ездить в датацентры лично? Какой неленивый тип.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #73

62. Сообщение от Ага ага (?), 13-Авг-20, 06:46	+6 +/–
Ты такой наивный... Серьезно думаешь, что бэкдоры Интеля, Сиськи, ИБМ и прочих это не часть функционала? Похоже ты вырос в стране розовых пони, которые серут радугой, с чем тебя и поздравляю.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

63. Сообщение от Аноним (63), 13-Авг-20, 10:07	+1 +/–
Сказал "א" - говори и "ב".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #66

64. Сообщение от анон41582 (?), 13-Авг-20, 11:06	+/–
А что не так? Чуваки отжали у бродкома сабжевые пилоты и теперь из конкурентов у них остались разве что нувотон. Ну так себе конкурент, судя по всему.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

65. Сообщение от Аноним (65), 13-Авг-20, 11:15	+/–
Раб американского режима!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

66. Сообщение от Odalist (?), 13-Авг-20, 12:15	+/–
> Сказал "א" - говори и "ב". ב
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

67. Сообщение от anonymous (??), 13-Авг-20, 13:57	+/–
Это нужно очень много негров, чтобы обслуживать миллионы серверов :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #74

68. Сообщение от anonymous (??), 13-Авг-20, 13:58	+/–
SoL упрощает жизнь ;)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

69. Сообщение от anonymous (??), 13-Авг-20, 13:59	+/–
Такую фигню вполне можно на Go писать :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

70. Сообщение от anonymous (??), 13-Авг-20, 14:00	+/–
Мы лишь только нанимаем. И нас радует, когда человек умеет в Go :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

71. Сообщение от anonymous (??), 13-Авг-20, 14:01	+/–
Если оно и не торчит внаружу, то это всё равно уязвимость, вообще-то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #72

72. Сообщение от ryoken (ok), 13-Авг-20, 14:45	+/–
> Если оно и не торчит внаружу, то это всё равно уязвимость, вообще-то. Да никто и не спорит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

73. Сообщение от Дегенератор (ok), 13-Авг-20, 15:47	+/–
А еще - карантиноупорный
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

74. Сообщение от macfaq (?), 14-Авг-20, 17:46	+/–
> Это нужно очень много негров, чтобы обслуживать миллионы серверов :) Не всё же им метамф принимать и в драйв-баях к верховному властелину отправляться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

75. Сообщение от Сейд (ok), 15-Авг-20, 19:28	+/–
Грусть, хорошо, что я не пользуюсь серверными платами с прошивками AMI.
Ответить | Правка | Наверх | Cообщить модератору

76. Сообщение от asdf (?), 21-Авг-20, 18:14	+/–
нужно пользоваться исключительно американским или украинским оборудованием!!! они самые правильные и за демократию!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема