歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
新聞
您現在位置 : 首頁 >
新聞
韌體安全堪慮!Intel和Lenovo伺服器受長達6年Lighttpd漏洞影響
2024 / 04 / 12
編輯部
外媒報導,長達6年的Lighttpd網路伺服器漏洞存在於多家廠商的產品設備,其中包括Intel和Lenovo品牌。
這個安全漏洞可能讓攻擊者竊取處理程序記憶體位址,繞過Address Space Layout Randomization (ASLR)等保護機制。
Lighttpd是一款以輕量、高效聞名的開源網路伺服器,非常適合高流量網站使用。
Binarly安全公司近日對Baseboard Management Controllers (BMC)的掃描中,
發現Lighttpd可以藉由處理「折疊」的HTTP請求標題, 出現遠端可利用的堆外讀取( heap out-of-bounds read)漏洞。
雖然該漏洞早在2018年8月就已修復,但Lighthttpd的維護者僅在版本1.4.51中悄悄修復,沒有提報CVE編號。導致AMI MegaRAC BMC的開發人員錯過了這個修復,未能及時導入。結果,此漏洞就在供應鏈中蔓延到各大系統廠商和用戶。
大量受影響的裝置
BMC是嵌入在伺服器主機板上的微控制器,用於遠端管理、重啟、監控和韌體更新。Binarly發現,AMI直到2023年才套用2019年Lighttpd的修復程式,意味著大量存在遠端可利用漏洞的設備在這些年間陸續上市。
Binarly表示,根據他們的資料,超過2000多個設備受到影響,實際數量可能更大。
Binarly並針對不同廠商和裝置的影響,指定了3個內部追蹤ID:BRLY-2024-002、BRLY-2024-003和BRLY-2024-004的漏洞編號。
目前Intel和Lenovo都表示,受影響的型號已到達生命週期終止(EOL),不再提供安全更新,意味著這些裝置將永遠存在漏洞,直到被淘汰。
Binarly指出,這是韌體供應鏈中存在安全隱憂的新例子,可能持續多年。
同時,Lighttpd維護者未能提升對此漏洞的透明度和認知度,也加劇了問題,導致廠商未能及時應用必要的修復程式。
本文轉載Beepingcomputer。
韌體安全
安全啟動繞過
UEFI
最新活動
2024.05.24
AI新技術 全面捍衛網路安全
2024.05.29
2024南科資安論壇
看更多活動
大家都在看
MITRE公布遭駭細節及攻擊指標
攻擊加速、漏洞修補慢 !Fortinet提漏洞紅區概念及整合平台
數十億Android 裝置可能面臨 Dirty Stream 攻擊
Sophos: 97% 遭勒索軟體攻擊的企業曾與執法單位合作
HPE Aruba示警ArubaOS遠端程式碼執行漏洞
資安人科技網
文章推薦
谷歌釋出更新修補Chrome九個安全漏洞,包括新的零日漏洞
「後量子資安產業聯盟」成立 加速提升我國量子安全的競爭力
微軟Patch Tuesday修補了61個漏洞,包含兩個正被利用的零日漏洞