歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
新聞
您現在位置 : 首頁 >
新聞
韌體安全堪慮!Intel和Lenovo伺服器受長達6年Lighttpd漏洞影響
2024 / 04 / 12
編輯部
外媒報導,長達6年的Lighttpd網路伺服器漏洞存在於多家廠商的產品設備,其中包括Intel和Lenovo品牌。
這個安全漏洞可能讓攻擊者竊取處理程序記憶體位址,繞過Address Space Layout Randomization (ASLR)等保護機制。
Lighttpd是一款以輕量、高效聞名的開源網路伺服器,非常適合高流量網站使用。
Binarly安全公司近日對Baseboard Management Controllers (BMC)的掃描中,
發現Lighttpd可以藉由處理「折疊」的HTTP請求標題, 出現遠端可利用的堆外讀取( heap out-of-bounds read)漏洞。
雖然該漏洞早在2018年8月就已修復,但Lighthttpd的維護者僅在版本1.4.51中悄悄修復,沒有提報CVE編號。導致AMI MegaRAC BMC的開發人員錯過了這個修復,未能及時導入。結果,此漏洞就在供應鏈中蔓延到各大系統廠商和用戶。
大量受影響的裝置
BMC是嵌入在伺服器主機板上的微控制器,用於遠端管理、重啟、監控和韌體更新。Binarly發現,AMI直到2023年才套用2019年Lighttpd的修復程式,意味著大量存在遠端可利用漏洞的設備在這些年間陸續上市。
Binarly表示,根據他們的資料,超過2000多個設備受到影響,實際數量可能更大。
Binarly並針對不同廠商和裝置的影響,指定了3個內部追蹤ID:BRLY-2024-002、BRLY-2024-003和BRLY-2024-004的漏洞編號。
目前Intel和Lenovo都表示,受影響的型號已到達生命週期終止(EOL),不再提供安全更新,意味著這些裝置將永遠存在漏洞,直到被淘汰。
Binarly指出,這是韌體供應鏈中存在安全隱憂的新例子,可能持續多年。
同時,Lighttpd維護者未能提升對此漏洞的透明度和認知度,也加劇了問題,導致廠商未能及時應用必要的修復程式。
本文轉載Beepingcomputer。
韌體安全
安全啟動繞過
UEFI
最新活動
2025.09.10
【從外部到內部:AI如何重新定義資安攻防戰線】實體研討會
2025.09.05
從零開始學IT網路 – 5 天帶你掌握 IT 網路核心、拿下國際認證!
2025.09.05
商丞科技『ForestSafe 特權帳號管理軟體』與『Silverfort 身份安全平台』網路視訊研討會。
2025.09.11
9/11-9/12【API 安全開發指南:漏洞修復與授權管理實務】兩日精華班
2025.09.18
「密碼規範越嚴,反而更危險?」從稽核角度解讀帳號管理誤區與最佳實務
2025.09.24
資安攻防演練
2025.09.25
面對勒索病毒威脅,資料遺失怎麼辦?3 招讓備份真的能用
看更多活動
大家都在看
偽ChatGPT應用程式傳播Play勒索軟體 攻擊Windows零時差漏洞
威脅警報:全球大規模釣魚攻擊正在蔓延
NIST發布輕量級加密新標準 為物聯網設備築起安全防線
中國Silk Typhoon駭客組織利用雲端信任關係發動供應鏈攻擊
GreyNoise示警:大規模RDP掃描攻擊恐為新漏洞曝光前兆
資安人科技網
文章推薦
Storm-0501網攻組織轉戰雲端 創新勒索手法威脅企業
從 CVE 漏洞探討 AI 機器人及可移動智慧載具面臨的各種資安風險
Google 證實:Salesloft Drift 資安漏洞擴大 相關整合平台認證令牌應視為已遭駭