Forscher entdecken kritische Schwachstelle in OpenBMC

Ein Team von Sicherheitsforschern von Tetrel hat im August 2024 eine kritische Sicherheitslücke in OpenBMC entdeckt. Diese Schwachstelle CVE-2024-41660 betrifft den slpd-lite-Dienst, der standardmäßig in OpenBMC aktiviert ist. Die Lücke ermöglicht es Angreifern, die Kontrolle über einen Baseboard Management Controller (BMC) zu übernehmen, wenn sie Zugang zum BMC-Managementnetzwerk haben.

Die Schwachstelle, die mit einem CVSSv3.1-Score von 9.8 bewertet wurde, umfasst Speicherfehler, die zu Out-of-Bounds-Reads und Heap-Overflows führen können. Dadurch könnten Angreifer sensible Daten auslesen oder sogar beliebigen Code ausführen.

Ein erfolgreicher Angriff auf diese Schwachstelle könnte zu einer vollständigen Kompromittierung des BMC führen, was kritische Serverfunktionen gefährdet. Da BMCs oft in hoch privilegierten Netzwerken eingesetzt werden, wäre dies ein erhebliches Risiko für betroffene Infrastrukturen. Es wird dringend empfohlen, die von OpenBMC bereitgestellten Patches sofort anzuwenden, um diese Gefahr zu entschärfen.

Tags :

Related Posts

Patch für kritische Sicherheitslücken in Ivanti Neurons für ITSM veröffentlicht

Am 13. August 2024 hat Ivanti Sicherheitsupdates für Ivanti Neurons for ITSM veröffentlicht, die zwei schwerwiegende Sicherheitslücken adressieren: eine kritische Informations-Disclosure (CVE-2024-7569) und eine hochriskante fehlerhafte Zertifikatsvalidierung (CVE-2024-7570). Diese Schwachstellen betreffen ausschließlich On-Premises-Installationen, die OIDC-Authentifizierung nutzen. Cloud-Kunden sind bereits durch automatische Updates seit dem 4. August geschützt.

Read More

Mehrere Sicherheitslücken in Zoom Workplace Apps entdeckt

Am 13. August 2024 veröffentlichte Zoom eine Reihe von Sicherheitsbulletins, die mehrere Schwachstellen in ihren Workplace Apps und SDKs betreffen. Zu den identifizierten Sicherheitslücken gehören Pufferüberläufe (CVE-2024-39825, CVE-2024-42436, CVE-2024-42437), unzureichende Schutzmechanismen (CVE-2024-39818) und unsichere Suchpfade (CVE-2024-42440). Die Schwachstellen können Angreifern ermöglichen, privilegierten Zugriff zu erlangen, sensible Informationen offenzulegen oder das System durch Netzwerkzugriffe zu kompromittieren.

Read More

Kritische Schwachstelle in Kubernetes Git-Sync entdeckt: Potenzielle Command Injection

Am 9. August 2024 enthüllte der Sicherheitsforscher Tomer Peled von Akamai eine schwerwiegende Designschwachstelle im Kubernetes-Sidecar-Projekt Git-Sync, die auf der DEF CON 2024 vorgestellt wird. Die Schwachstelle ermöglicht es Angreifern, durch manipulierte YAML-Dateien entweder Daten aus Pods zu exfiltrieren oder Kommandos mit den Rechten des Git-Sync-Benutzers auszuführen.

Read More