Alertes sur les failles de sécurité des produits Hewlett Packard Enterprise

Le 23 janvier 2019, Stewart Smith, un chercheur en sécurité, a rendu public un blog décrivant des attaques au niveau des systèmes d’exploitation, visant les composants informatiques sous-jacents, appelés contrôleurs de gestion de la carte mère (BMC). La vulnérabilité a été surnommée « Pantsdown » en raison de l’effet de surprise de l’attaque. CVE-2019-6260 est la réponse à ce problème. L’utilisation de cette technique a également été avérée dans l’attaque dite « Cloudborne », évoquée dans les médias. Les attaques BMC permettaient de flasher à nouveau le micrologiciel de niveau inférieur, de modifier les mots de passe du matériel et de rendre le système inexploitable. Les BMC de fournisseurs tiers concernés sont en cours d’évaluation et des mises à jour seront publiées par HPE.

Pour en savoir plus sur CVE-2019-6260, consultez NIST NVD

L’évaluation de l’impact sur les produits HPE est disponible ici

Pour de plus amples informations, contactez le Centre de support HPE

Le 22 août, Apache a communiqué sur la vulnérabilité existant dans Struts, versions 2.3 à 2.3.34 et 2.5 à 2.5.16 qui peuvent pâtir d’une exécution de code à distance, dans le contexte de l’application. Struts 2 est utilisé dans plusieurs produits HPE. Pour en savoir plus sur CVE-2018-11776, Pour en savoir plus sur CVE-2018-11776, consultez le Dictionnaire MITRE CVE et NIST NVD.

L’évaluation de l’impact sur les produits HPE est disponible ici

Pour de plus amples informations, contactez le Centre de support HPE

Le 14 août 2018, Intel a divulgué de nouvelles vulnérabilités impactant les processeurs pris en charge sur certaines plateformes HPE. Et si elles sont exploitées à de mauvaises fins, ces vulnérabilités peuvent autoriser la récupération clandestine de données sensibles.

Elles utilisent une méthode de canal latéral d’exécution spéculative appelée Terminal Fault L1 (L1TF) par Intel. Au moment de la divulgation, Intel n’avait pas d’information quant à l’utilisation de L1TF dans des exploitations du monde réel. Un peu plus tôt en 2018, l’entreprise a diffusé des microcodes mis à jour, ensuite mis à disposition par HPE via des mises à jour de ROM système. Ces microcodes mis à jour, lorsqu’ils sont couplés avec les nouvelles mises à jour du système d’exploitation et/ou du logiciel hyperviseur mis à disposition, assurent une réduction de ces vulnérabilités.

Intel a indiqué que pour une partie du marché, principalement un sous-ensemble des systèmes exécutant cette technologie de virtualisation traditionnelle dans les datacenters, il est conseillé de prendre des mesures supplémentaires pour protéger les systèmes. Cette mesure peut consister à activer des fonctions de programmation de cœurs d’hyperviseur spécifiques ou à choisir de désactiver l’hyper-filetage dans des scénarios spécifiques. Veuillez consulter les recommandations des fournisseurs du SE et de l’hyperviseur.

L’évaluation de l’impact sur les produits HPE est disponible ici

Pour de plus amples informations, contactez le Centre de support HPE

Le 21 mai 2018, a été dévoilée une vulnérabilité à l’échelle sectorielle, impliquant des architectures de microprocesseur modernes. Selon une nouvelle étude sur la sécurité, il existe des méthodes d’analyses logicielles qui, lorsqu’elles sont utilisées à des fins malveillantes, ont la capacité de collecter de manière incorrecte des données sensibles provenant des appareils de calcul, qui fonctionnent par ailleurs comme prévu. Cette vulnérabilité est alors connue sous l’appellation Speculative Store Bypass ou Variant 4 (CVE-2018-3639). Malgré ses nombreux points communs avec la récente Méthode d’analyse de canal secondaire ou Spectre et Meltdown, il s’agit bien d’une nouvelle vulnérabilité nécessitant de nouveaux antidotes distincts.

La vulnérabilité Speculative Store Bypass ou Variant 4 impacte les architectures de microprocesseur de multiples fournisseurs de processeurs, y compris Intel, AMD et ARM. Pour traiter cette vulnérabilité, les fournisseurs de systèmes et de logiciel du secteur, et notamment HPE, travaillent ensemble pour développer des stratégies d’atténuation. L’atténuation proposée pour les produits basés sur Intel nécessite des mises à jour du SE, mais aussi de la ROM système, y compris un nouveau microcode Intel. En revanche, l’atténuation destinée aux produits basés sur AMD ne nécessite qu’une mise à jour du SE.

De plus, le 21 mai 2018, une autre vulnérabilité a été dévoilée, appelée Rogue Register Load ou Variant 3A (CVE-2018-3640), qui permet à un assaillant d’accéder clandestinement aux registres du processeur. Cette vulnérabilité impacte uniquement les produits basés sur Intel. Son atténuation nécessite uniquement une mise à jour de la ROM système y compris un nouveau microcode Intel. Le même microcode requis pour atténuer Speculative Store Bypass ou Variant 4 permet également de contrer Rogue Register Load ou Variant 3A.

Les processeurs Itanium Intel ne sont pas exposés aux vulnérabilités Speculative Store Bypass (CVE-2018-3639) ou Rogue Register Load (CVE-2018-3640).

L’évaluation de l’impact sur les produits HPE est disponible ici

Pour de plus amples informations, contactez le Centre de support HPE

Le 13 mars 2018, CTS Labs a publiquement divulgué des informations concernant la recherche sur les vulnérabilités de la sécurité impactant certains produits AMD. Concernant les serveurs HPE, les vulnérabilités concernées impactent le processeur AMD (PSP) Secure, utilisé dans le processeur AMD EPYC série 7000 qui équipe les serveurs HPE ProLiant DL385 Gen10 et HPE Cloudline CL3150 Gen10. Aucun autre produit de serveur HPE n’est impacté par ces vulnérabilités potentielles.

HPE travaille avec AMD afin de déterminer l’étendue de la vulnérabilité et les précautions à prendre pour atténuer l’exposition. Heureusement, le nouveau produit HPE DL385 Gen10 dispose des nouvelles fonctionnalités de sécurité HPE, y compris la racine de confiance sur silicium HPE. Cette nouvelle technologie HPE protège contre le déni de service classique ou le rejet permanent des conditions de service pouvant être causés par un élément de cette vulnérabilité.

Nous mettrons à jour nos communications à mesure que HPE, collaborant avec AMD, obtient des informations. Vous pouvez également vous reporter à la déclaration suivante, publiée par AMD le 20 mars.

L’évaluation de l’impact sur les produits HPE est disponible ici

Pour de plus amples informations, contactez le Centre de support HPE

Un de nos fournisseurs, Intel, a récemment découvert une potentielle vulnérabilité de sécurité dans son micrologiciel Server Platform Services (SPS). La vulnérabilité de la sécurité a affecté plusieurs de ses architectures de processeur. Néanmoins, les architectures de serveur Intel impactés ne sont pas tous utilisés dans les produits HPE. Plus précisément, le micrologiciel SPS/ME utilisé dans l’architecture d’Intel peut être compromis en utilisant l’accès physique. Par conséquent, le code non authentifié peut être exécuté dans l’environnement SPS sans que l’utilisateur ou l’administrateur du système d’exploitation ne le voie.

Ces vulnérabilités ne sont pas uniques aux serveurs HPE et affecteront tous les systèmes ayant recours à des architectures de processeur identifiées d’Intel avec des révisions de micrologiciel impacté.

Évaluations de l’impact sur les produits HPE au format HTML ou tableur

Pour de plus amples informations, contactez le Centre de support HPE

Le 16 octobre 2017, les chercheurs en sécurité Mathy Vanhoef et Frank Piessens ont décrit des vulnérabilités dans Wi-Fi Protected Access II (WPA2) dans un article scientifique publié, "Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2". Certains trafics protocolaires WPA2 vulnérables peuvent être manipulés pour provoquer une réutilisation nonce et de clé de session, entraînant alors une réinstallation clé par un point d’accès sans fil (PA) ou un client sans fil. Cela permet pour un assaillant ayant à sa portée un PA affecté et un client sans fil d’exécuter un déchiffrement de paquet arbitraire, une injection de paquet, un piratage de connexion TCP et une injection de contenu HTTP.

Les CVE suivants sont attribués à cette vulnérabilité : CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.

Évaluations de l’impact sur les produits HPE au format HTML ou tableur

Pour de plus amples informations, contactez le Centre de support HPE