Pantsdown: Fehler in Server-Firmware ermöglicht Rootkit

Eine Sicherheitslücke in der Firmware von Baseband Management Controllern (BMC) ermöglicht bösartigen Admins, eine Art Rootkit zu installieren, das nur schwer auffindbar ist. Besonders kritisch wird dies bei der Verwendung gebrauchter Hardware.

Artikel veröffentlicht am 24. Januar 2019, 15:10 Uhr, Sebastian Grüner

Die BMC sind zur Fernwartung der Server im Rechenzentrum gedacht. (Bild: Marc Sauter/Golem.de)

Die Firmware der Baseband Management Controller (BMC) Ast2400 und Ast2500 von Hersteller Aspeed enthält eine Sicherheitslücke (CVE-2019-6260), die es bösartigen Admins ermöglicht, Schadsoftware tief in der Firmware von Servermainboards zu verstecken. Besonders kritisch wird diese Art Angriffsszenario bei der Wiederverwendung gebrauchter Server-Hardware beziehungsweise in dem Fall, in dem Anbietern der Boards etwa in Cloud-Rechenzentren nicht vertraut wird.

In der teilweise etwas albernen Tradition der Open-Source-Community, Sicherheitslücken mit sprechenden Codenamen zu referenzieren, wird die aktuelle Lücke Pantsdown genannt. Das sei eine Anspielung der Entdecker darauf, dass die Industrie mit heruntergelassener Hose erwischt worden sei, wie der IBM-Angestellte Stewart Smith in seinem Blog schreibt.

Die Möglichkeiten eines Schadcodes sind aufgrund der weitreichenden Funktionen des BMC vielfältig. Die BMC haben meistens einen Vollzugriff auf das eigentliche Server-System inklusive dem Netzwerk. Wichtig ist in der Betrachtung vor allem, dass Schadsoftware im BMC weder vom genutzten Betriebssystem noch von einem Hypervisor entdeckt werden kann. Ebenso übersteht die Malware in solch einem Fall Neustarts beziehungsweise ein Neuaufsetzen des genutzten Betriebssystems für den Server.

Auswirkung schwierig zu beurteilen

Inwiefern ein Angriff aber tatsächlich als relevant zu betrachten ist, hängt davon ab, ob und in welchem Umfang die Nutzer der Serverhardware die BMC-Software selbst verändern oder eben nicht. Große Anbieter setzten regelmäßig auf einen eigenen Softwarestack zur Fernwartung über die BMC und spielen diese als ersten Schritt vor der Inbetriebnahme ein. Bei kleineren Unternehmen oder Hostern gehört das aber wohl nicht zum Standardvorgehen.

Eine detaillierte Analyse zu der Lücke und möglichen Risiken liefert der Blogeintrag des Entwicklers Smith. Demnach betrifft die Sicherheitslücke die BMC-Systeme der großen Hersteller AMI und Supermicro sowie das von der Linux Foundation als Kollaborationsprojekt geführte OpenBMC. Die verwendete CPU-Architektur scheint ebenso nicht ausschlaggebend für die Sicherheitslücke zu sein, so ist diese auf x86-Systemen ebenso wie auf aktuellen Power-Systemen ausnutzbar.