韌體安全堪慮！Intel和Lenovo伺服器受長達6年Lighttpd漏洞影響

外媒報導，長達6年的Lighttpd網路伺服器漏洞存在於多家廠商的產品設備，其中包括Intel和Lenovo品牌。
 
這個安全漏洞可能讓攻擊者竊取處理程序記憶體位址，繞過Address Space Layout Randomization (ASLR)等保護機制。
 
Lighttpd是一款以輕量、高效聞名的開源網路伺服器，非常適合高流量網站使用。
 
Binarly安全公司近日對Baseboard Management Controllers (BMC)的掃描中，發現Lighttpd可以藉由處理「折疊」的HTTP請求標題， 出現遠端可利用的堆外讀取( heap out-of-bounds read)漏洞。
 
雖然該漏洞早在2018年8月就已修復，但Lighthttpd的維護者僅在版本1.4.51中悄悄修復，沒有提報CVE編號。導致AMI MegaRAC BMC的開發人員錯過了這個修復，未能及時導入。結果，此漏洞就在供應鏈中蔓延到各大系統廠商和用戶。

大量受影響的裝置

BMC是嵌入在伺服器主機板上的微控制器，用於遠端管理、重啟、監控和韌體更新。Binarly發現，AMI直到2023年才套用2019年Lighttpd的修復程式，意味著大量存在遠端可利用漏洞的設備在這些年間陸續上市。
 
Binarly表示，根據他們的資料，超過2000多個設備受到影響，實際數量可能更大。
 
Binarly並針對不同廠商和裝置的影響，指定了3個內部追蹤ID：BRLY-2024-002、BRLY-2024-003和BRLY-2024-004的漏洞編號。
 
目前Intel和Lenovo都表示，受影響的型號已到達生命週期終止(EOL)，不再提供安全更新，意味著這些裝置將永遠存在漏洞，直到被淘汰。
 
Binarly指出，這是韌體供應鏈中存在安全隱憂的新例子，可能持續多年。
 
同時，Lighttpd維護者未能提升對此漏洞的透明度和認知度，也加劇了問題，導致廠商未能及時應用必要的修復程式。

本文轉載Ｂeepingcomputer。