Abo
  • IT-Karriere:

Pantsdown: Fehler in Server-Firmware ermöglicht Rootkit

Eine Sicherheitslücke in der Firmware von Baseband Management Controllern (BMC) ermöglicht bösartigen Admins, eine Art Rootkit zu installieren, das nur schwer auffindbar ist. Besonders kritisch wird dies bei der Verwendung gebrauchter Hardware.

Artikel veröffentlicht am ,
Die BMC sind zur Fernwartung der Server im Rechenzentrum gedacht.
Die BMC sind zur Fernwartung der Server im Rechenzentrum gedacht. (Bild: Marc Sauter/Golem.de)

Die Firmware der Baseband Management Controller (BMC) Ast2400 und Ast2500 von Hersteller Aspeed enthält eine Sicherheitslücke (CVE-2019-6260), die es bösartigen Admins ermöglicht, Schadsoftware tief in der Firmware von Servermainboards zu verstecken. Besonders kritisch wird diese Art Angriffsszenario bei der Wiederverwendung gebrauchter Server-Hardware beziehungsweise in dem Fall, in dem Anbietern der Boards etwa in Cloud-Rechenzentren nicht vertraut wird.

Stellenmarkt
  1. Universität Hamburg, Hamburg
  2. BWI GmbH, Berlin, Strausberg

In der teilweise etwas albernen Tradition der Open-Source-Community, Sicherheitslücken mit sprechenden Codenamen zu referenzieren, wird die aktuelle Lücke Pantsdown genannt. Das sei eine Anspielung der Entdecker darauf, dass die Industrie mit heruntergelassener Hose erwischt worden sei, wie der IBM-Angestellte Stewart Smith in seinem Blog schreibt.

Die Möglichkeiten eines Schadcodes sind aufgrund der weitreichenden Funktionen des BMC vielfältig. Die BMC haben meistens einen Vollzugriff auf das eigentliche Server-System inklusive dem Netzwerk. Wichtig ist in der Betrachtung vor allem, dass Schadsoftware im BMC weder vom genutzten Betriebssystem noch von einem Hypervisor entdeckt werden kann. Ebenso übersteht die Malware in solch einem Fall Neustarts beziehungsweise ein Neuaufsetzen des genutzten Betriebssystems für den Server.

Auswirkung schwierig zu beurteilen

Inwiefern ein Angriff aber tatsächlich als relevant zu betrachten ist, hängt davon ab, ob und in welchem Umfang die Nutzer der Serverhardware die BMC-Software selbst verändern oder eben nicht. Große Anbieter setzten regelmäßig auf einen eigenen Softwarestack zur Fernwartung über die BMC und spielen diese als ersten Schritt vor der Inbetriebnahme ein. Bei kleineren Unternehmen oder Hostern gehört das aber wohl nicht zum Standardvorgehen.

Eine detaillierte Analyse zu der Lücke und möglichen Risiken liefert der Blogeintrag des Entwicklers Smith. Demnach betrifft die Sicherheitslücke die BMC-Systeme der großen Hersteller AMI und Supermicro sowie das von der Linux Foundation als Kollaborationsprojekt geführte OpenBMC. Die verwendete CPU-Architektur scheint ebenso nicht ausschlaggebend für die Sicherheitslücke zu sein, so ist diese auf x86-Systemen ebenso wie auf aktuellen Power-Systemen ausnutzbar.



Anzeige
Spiele-Angebote
  1. 29,99€
  2. (-83%) 9,99€
  3. 33,49€
  4. 69,99€ (Release am 21. Februar 2020, mit Vorbesteller-Preisgarantie)

1ras 25. Jan 2019

Okay, ich denke der Unterschied zur nun entdeckten Lücke ist, dass du nur noch Zugang zum...

M.P. 25. Jan 2019

Immerhin hat der Artikel vielleicht Aufmerksamkeit dafür generiert, dass man gebraucht...

brobdingnag 24. Jan 2019

Schon klar. Mein Gedanke war, dass die Zeitung das unglücklich formuliert hat oder...


Folgen Sie uns
       


LG G8x Thinq - Hands on

Das G8x Thinq von LG kann mit einer speziellen Hülle verwendet werden, die dem Smartphone einen zweiten Bildschirm hinzufügt. Golem.de hat sich das Gespann in einem ersten Kurztest angeschaut.

LG G8x Thinq - Hands on Video aufrufen
Facebook Horizon ausprobiert: Social-VR soll kommen, um zu bleiben
Facebook Horizon ausprobiert
Social-VR soll kommen, um zu bleiben

Mit Horizon entwickelt Facebook eine virtuelle Welt, um Menschen per VR-Headset zusammenzubringen. Wir haben Kevin vermöbelt, mit Big Alligator eine Palme gepflanzt und Luftkämpfe um bunte Fahnen ausgetragen.
Von Marc Sauter

  1. VR-Rundschau Mit Vader auf die dunkle Seite des Headsets
  2. Virtual Reality HTC Vive Cosmos bietet 1.440 x 1.700 Pixel pro Auge
  3. Anzeige Osrams LEDs und Sensoren machen die virtuelle Welt realer

Inside Bill's Brain rezensiert: Nicht nur in Bill Gates' Kopf herrscht Chaos
Inside Bill's Brain rezensiert
Nicht nur in Bill Gates' Kopf herrscht Chaos

Einer der erfolgreichsten Menschen der Welt ist eben auch nur ein Mensch: Die Netflix-Doku Inside Bill's Brain - Decoding Bill Gates zeichnet das teils emotionale Porträt eines introvertierten und schlauen Nerds, schweift aber leider zu oft in die gemeinnützige Arbeit des Microsoft-Gründers ab.
Eine Rezension von Oliver Nickel

  1. Microsoft Netflix bringt dreiteilige Dokumentation über Bill Gates

Banken: Die Finanzbranche braucht eine neue Strategie für ihre IT
Banken
Die Finanzbranche braucht eine neue Strategie für ihre IT

Ob Deutsche Bank, Commerzbank oder DKB: Immer wieder wackeln Server und Anwendungen bei großen Finanzinstituten. Viele Kernbanksysteme sind zu alt für aktuelle Anforderungen. Die Branche sucht nach Auswegen.
Eine Analyse von Manuel Heckel

  1. Bafin Kunden beklagen mehr Störungen beim Online-Banking
  2. PSD2 Giropay soll bald nahezu allen Kunden zur Verfügung stehen
  3. Klarna Der Schrecken der traditionellen Banken

    •  /