Múltiples vulnerabilidades en Integrated Lights-Out de HPE

Se han de­tec­ta­do di­ver­sas fa­llas de se­gu­ri­dad que afec­tan a di­fe­ren­tes ver­sio­nes de las he­rra­mien­tas de ad­mi­nis­tra­ción In­te­gra­ted Lights-Out de HPE, es­pe­cí­fi­ca­men­te en las edi­cio­nes iLO 5 (para ser­vi­do­res HPE Gen10 en ver­sio­nes pre­vias a la 3.22), iLO 6 (ver­sio­nes an­te­rio­res a la 1.79) e iLO 7 (ver­sio­nes pre­vias a la 1.25.01). Los ha­llaz­gos fue­ron re­por­ta­dos por un es­pe­cia­lis­ta ex­terno y com­pren­den un total de seis pro­ble­mas de se­gu­ri­dad con dis­tin­tas es­ca­las de gra­ve­dad.

Entre los fa­llos iden­ti­fi­ca­dos se en­cuen­tran uno de nivel crí­ti­co, cua­tro cla­si­fi­ca­dos como altos y uno de im­pac­to bajo. Si un ata­can­te logra apro­ve­char estas de­fi­cien­cias de ma­ne­ra re­mo­ta, po­dría con­se­guir sal­tar­se los me­ca­nis­mos de con­trol de ac­ce­so, con­se­guir una se­sión con má­xi­mos pri­vi­le­gios ad­mi­nis­tra­ti­vos o cau­sar in­te­rrup­cio­nes en el ser­vi­cio me­dian­te ata­ques de de­ne­ga­ción de ser­vi­cio. Asi­mis­mo, se do­cu­men­ta de forma es­pe­cí­fi­ca una vul­ne­ra­bi­li­dad vin­cu­la­da a la omi­sión de va­li­da­ción en la in­ter­faz IPMI/RMCP+, la cual per­mi­ti­ría a un usua­rio ex­terno con ac­ce­so al ser­vi­cio y co­no­ci­mien­to de una cuen­ta ac­ti­va ini­ciar se­sión como ad­mi­nis­tra­dor sin re­que­rir la con­tra­se­ña.

Para mi­ti­gar estos ries­gos, el fa­bri­can­te acon­se­ja apli­car las ac­tua­li­za­cio­nes co­rres­pon­dien­tes ele­van­do los sis­te­mas a las ver­sio­nes 3.22 o su­pe­rio­res en iLO 5, la ver­sión 1.79 o pos­te­rio­res en iLO 6, y la ver­sión 1.25.01 o más re­cien­te en iLO 7. Adi­cio­nal­men­te, se su­gie­re man­te­ner apa­ga­da la ca­rac­te­rís­ti­ca de IPMI sobre LAN siem­pre que no sea in­dis­pen­sa­ble para las ope­ra­cio­nes.