Powiadomienia o podatnościach bezpieczeństwa produktów Hewlett Packard Enterprise
Praktyki HPE dotyczące zabezpieczeń produktów
Hewlett Packard Enterprise uwzględnia najlepsze praktyki branży IT w procesie rozwijania produktów, aby zapewnić solidność stosowanych zabezpieczeń. Praktyki inżynierskie i produkcyjne HPE mają na celu spełnienie wymogów bezpieczeństwa produktów, ochronę własności intelektualnej HPE oraz usprawnienie obsługi gwarancyjnej produktów HPE.
W przypadku pojawienia się nowej, ogólnobranżowej podatności bezpieczeństwa HPE bada swój asortyment produktów w celu określenia skutków takiej podatności. Dla produktów objętych skutkami podatności są publikowane biuletyny zabezpieczeń. Biuletyny zawierają wersje produktów objętych skutkami podatności oraz rozwiązania (poprawka, aktualizacja lub zmiana konfiguracyjna).
Klienci mogą subskrybować powiadomienia o nowych biuletynach zabezpieczeń i poradniki HPE dla swoich produktów — subskrybuj powiadomienia dotyczące swoich produktów.
+ pokaż więcej
Powiadomienia o podatnościach bezpieczeństwa produktów
-
Zdalne wykonanie kodu w HPE Systems Insight Manager (SIM) (CVE-2020-7200)
15 grudnia 2020 r. firma HPE powiadomiła klientów za pośrednictwem biuletynu zabezpieczeń o krytycznej podatności umożliwiającej zdalne wykonanie kodu w oprogramowaniu HPE Systems Insight Manager (SIM) działającym w systemach Windows i Linux. Luka została zgłoszona firmie HPE przez Harrisona Neala we współpracy z Trend Micro Zero Day Initiative. Firma HPE zapewniła rozwiązanie lub ręczne środki zaradcze, które należy wdrożyć w każdym systemie HPE SIM.
Więcej informacji można znaleźć w Biuletynie zabezpieczeń HPE.
-
Podatność UEFI Secure Boot Evasion, zwana również BootHole (CVE-2020-10713 i CVE-2020-15705)
W dniu 29 lipca pewien analityk ujawnił podatność bezpieczeństwa programu ładującego Linux GRUB2 o nazwie „BootHole” (CVE-2020-10713 i CVE-2020-15705). System jest podatny na problem BootHole, gdy podpisany program ładujący GRUB2 z wadliwym kodem uzyskuje zezwolenie na uruchomienie z bazy danych dozwolonych sygnatur UEFI (DB). Podatność umożliwia obejście procesu bezpiecznego rozruchu w systemach, w których jest włączony.
Aby zapobiec wykorzystaniu tej podatności, dostawcy odpowiednich systemów operacyjnych udostępniają zaktualizowany program ładujący GRUB2 oraz zaktualizowaną bazę danych zabronionych sygnatur (DBX), które należy zastosować do systemu. Zagrożone produkty HPE również otrzymają aktualizacje zgodne z tymi aktualizacjami GRUB2 i DBX.
Ponadto istnieje podobna podatność wspomniana w komunikacie BootHole i HPE zajmuje się tą kwestią. Przypisano jej kod CVE-2020-7205.
HPE przedstawia poniżej dokumentację dotyczącą skutków dla produktów i rozwiązania.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność Ripple20 — kilka podatności dotyczących stosu protokołów TCP/IP Treck (różne CVE)
W dniu 16 czerwca 2020 r. organizacja JSOF ujawniła podatności Ripple20 w zabezpieczeniach stosu protokołów TCP/IP o nazwie Treck. HPE ocenia skutki każdej podatności dla swoich produktów i będzie o nich na bieżąco informować poprzez komunikaty w sprawie działań naprawczych.
CVE oceniane przez HPE to: CVE-2020-11896, CVE-2020-11897, CVE-2020-11898, CVE-2020-11899, CVE-2020-11900, CVE-2020-11901, CVE-2020-11902, CVE-2020-11903, CVE-2020-11904, CVE-2020-11905, CVE-2020-11906, CVE-2020-11907, CVE-2020-11908, CVE-2020-11909, CVE-2020-11910, CVE-2020-11911, CVE-2020-11912, CVE-2020-11913 i CVE-2020-11914.
Firma Intel opublikowała również następujące 4 CVE związane z Ripple20: CVE-2020-0594, CVE-2020-059, CVE-2020-0595 i CVE-2020-8674.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
HPE nadal bada tę kwestię, a ocena skutków dla produktów będzie aktualizowana w miarę dostępności kolejnych informacji.
-
Podatność CacheOut (CVE-2020-0548 i CVE-2020-0549)
W dniu 27 stycznia 2020 r. firma Intel ujawniła podatność bezpieczeństwa swego oprogramowania mikrokodu procesora CPU, która pozwala na ujawnienie informacji. Podatność otrzymała od analityków bezpieczeństwa, którzy ją odkryli, kryptonim CacheOut i przypisano jej kody CVE-2020-0548 i CVE-2020-0549. Więcej informacji jest dostępnych w oficjalnym ostrzeżeniu firmy Intel dotyczącym bezpieczeństwa nr 00329.
HPE przedstawia poniżej dokumentację dotyczącą skutków dla produktów i rozwiązania.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność Plundervolt (CVE-2019-11157) na niektórych serwerach HPE z procesorami Intel
W dniu 10 grudnia 2019 r. grupa analityków bezpieczeństwa opublikowała pracę opisującą atak znany pod kryptonimem Plundervolt. Atak jest wymierzony w niektóre procesory Intel i polega na wykorzystaniu uprawnionego dostępu do zmiany napięcia procesora, co może pozwolić na ujawnienie lub modyfikację kodu i danych chronionych przez Intel Software Guard Extensions (SGX). Problem dotyczy niektórych serwerów HPE, jak opisano pod poniższymi łączami.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność TPM-FAIL (CVE-2019-16863)
W maju 2019 roku z firmą ST Micro, która jest dostawcą modułów TPM, skontaktował się zespół naukowców, który opisał wykrytą podatność bezpieczeństwa modułu ST TPM. Podatność dotyczy funkcji generowania podpisu za pomocą algorytmu ECDSA (Elliptic Curve Digital Signature Algorithm), obsługiwanej przez zidentyfikowany produkt TPM (ST33TPHF2ESPI z oprogramowaniem sprzętowym 73.4). Atak oparty jest na pomiarze czasu wykonania polecenia TPM (CVE-2019-16863).
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Luka Linux Kernel TCP SACK Panic Remote Denial of Service (CVE-2019-11477, CVE-2019-11478 i CVE-2019-11479)
Znaleziono trzy powiązane ze sobą błędy w obsłudze sieci TCP przez jądro systemu Linux. Najpoważniejsza podatność może pozwolić osobie przeprowadzającej zdalny atak na wywołanie alarmu jądra w systemach z wadliwym jądrem i wpłynąć na dostępność systemu. Problemom tym przypisano następujące kody CVE:
CVE-2019-11477 : alarm SACK
CVE-2019-11478 : powolność SACK
CVE-2019-11479 : nadmierne zużycie zasobów z powodu niskich wartości MSS
Pierwsze dwa kody CVE są związane z pakietami selektywnego potwierdzenia (SACK) w połączeniu z maksymalnym rozmiarem segmentu (MSS) TCP, natomiast trzeci kod CVE jest związany z maksymalnym rozmiarem segmentu (MSS).
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Microarchitectural Data Sampling (zwana również MDS, ZombieLoad, RIDL i Fallout)
W dniu 14 maja 2019 r. firma Intel i inni partnerzy branżowi udostępnili szczegóły i informacje na temat nowej grupy podatności bezpieczeństwa zwanych zbiorczo Microarchitectural Data Sampling (MDS). Takie podatności bezpieczeństwa procesorów mogą umożliwiać ujawnienie informacji. Firma Intel publikuje aktualizacje mikrokodu (MCU) w celu złagodzenia skutków tych potencjalnych podatności. Są one połączone z odpowiednimi aktualizacjami systemu operacyjnego i oprogramowania monitora maszyn wirtualnych.
Więcej informacji jest dostępne w ramach CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091 oraz w oficjalnym ostrzeżeniu firmy Intel dotyczącym bezpieczeństwa.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Luka AMI Aspeed Open BMC Reconfiguration and Security Override, zwana również Pantsdown, CVE-2019-6260
W dniu 23 stycznia 2019 r. analityk bezpieczeństwa Stewart Smith opublikował wpis na blogu ujawniający ataki na poziomie systemów operacyjnych na podstawowe komponenty systemów komputerowych o nazwie Baseband Management Controllers (BMC). Ze względu na zaskakujący charakter ataku podatność otrzymała kryptonim „pantsdown”. Temu problemowi przypisano kod CVE-2019-6260. Twierdzono również, że atak został wykorzystany w tzw. ataku „Cloudborne”, o którym można było usłyszeć w mediach. Ataki na BMC mogą pozwolić na przepisanie niskopoziomowego oprogramowania sprzętowego, zmianę haseł sprzętowych i uniemożliwienie działania systemu. Oceniane są wadliwe BMC pochodzące od dostawców zewnętrznych, a HPE pracuje nad aktualizacjami.
Aby dowiedzieć się więcej o CVE-2019-6260, patrz NIST NVD.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Apache Struts 2 — podatność umożliwiająca zdalne wykonanie kodu (CVE-2018-11776)
W dniu 22 sierpnia firma Apache ogłosiła, że podatność bezpieczeństwa platformy Struts w wersji od 2.3 do 2.3.34 oraz od 2.5 do 2.5.16 może pozwolić na zdalne wykonywanie kodu w kontekście aplikacji. Platforma Struts 2 jest wykorzystywana w kilku produktach HPE. Aby dowiedzieć się więcej na temat CVE-2018-11776, patrz MITRE CVE Dictionary i NIST NVD.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
L1 Terminal Fault — SGX (CVE-2018-3615), L1 Terminal Fault — system operacyjny, SMM (CVE-2018-3620), L1 Terminal Fault — VMM (CVE-2018-3646)
W dniu 14 sierpnia 2018 r. firma Intel ujawniła nowe podatności bezpieczeństwa, które wpływają na procesory obsługiwane przez niektóre platformy HPE. Wykorzystane tych podatności w nieuczciwych celach może potencjalnie umożliwić nieodpowiednie gromadzenie wrażliwych danych.
Te podatności wykorzystują metodę typu side-channel opartą na wykonywaniu spekulatywnym, którą Intel określa jako L1 Terminal Fault (L1TF). W momencie ujawnienia informacji firma Intel nie znała żadnych zgłoszonych przypadków faktycznego wykorzystania luki L1TF. Wcześniej w 2018 roku firma Intel opublikowała zaktualizowane mikrokody, które firma HPE już udostępniła w ramach aktualizacji systemowej pamięci ROM. Takie zaktualizowane mikrokody w połączeniu z nowymi aktualizacjami systemu operacyjnego lub oprogramowania monitora maszyn wirtualnych, które są obecnie udostępniane, łagodzą skutki podatności bezpieczeństwa.
Firma Intel poinformowała, że część klientów, głównie tych, którzy wykorzystują tradycyjną technologię wirtualizacji w centrach danych, będzie musiała podjąć dodatkowe kroki w celu ochrony systemów. Może to obejmować włączenie określonych funkcji głównego harmonogramu monitora maszyn wirtualnych lub wyłączenie hiperwątkowości w pewnych sytuacjach. Należy zapoznać się z zaleceniami dostawców systemów operacyjnych i monitorów maszyn wirtualnych.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatności Speculative Store Bypass (Variant IV) CVE-2018-3639 i Rogue Register Load (Variant 3a) CVE-2018-3640
W dniu 21 maja 2018 r. ujawniono ogólnobranżową podatność bezpieczeństwa nowoczesnych architektur mikroprocesorowych. Wyniki nowych badań nad bezpieczeństwem informatycznym pokazują, że pewne metody analizy oprogramowania wykorzystane w nieuczciwych celach potencjalnie umożliwiają nieodpowiednie gromadzenie danych wrażliwych z urządzeń komputerowych użytkowanych zgodnie z przeznaczeniem. Na chwilę obecną taka podatność jest określana mianem Speculative Store Bypass lub Variant 4 (CVE-2018-3639). Wprawdzie ta podatność wykazuje wiele podobieństw do niedawno ujawnionej metody analizy typu side-channel, czyli Spectre i Meltdown, ale jest to nowa podatność wymagająca nowych, unikatowych środków zaradczych.
Podatność Speculative Store Bypass lub Variant 4 wpływa na architektury mikroprocesorowe różnych dostawców procesorów, w tym Intel, AMD i ARM. Aby wyeliminować podatność, dostawcy sprzętu i oprogramowania z całej branży, w tym HPE, współpracują ze sobą w celu opracowania strategii łagodzenia jej skutków. Łagodzenie skutków dla produktów z procesorami Intel wymaga zarówno aktualizacji systemu operacyjnego, jak i systemowej pamięci ROM, w tym zastosowania nowego mikrokodu firmy Intel. Łagodzenie skutków w przypadku produktów z procesorami AMD wymaga jedynie aktualizacji systemu operacyjnego.
Ponadto w dniu 21 maja 2018 r. ujawniono kolejną podatność bezpieczeństwa zwaną Rogue Register Load lub Variant 3A (CVE-2018-3640), która daje osobie atakującej niewłaściwy dostęp do rejestrów procesora. Ta podatność dotyczy tylko produktów z procesorami Intel. Złagodzenie skutków tej podatności wymaga jedynie zastosowania aktualizacji systemowej pamięci ROM zawierającej nowy mikrokod Intel. Ten sam mikrokod, który jest wymagany do złagodzenia skutków luki Speculative Store Bypass lub Variant 4, działa również w przypadku podatności Rogue Register Load lub Variant 3A.
Na wykorzystanie podatności Speculative Store Bypass (CVE-2018-3639) i Rogue Register Load (CVE-2018-3640) nie są narażone procesory Intel Itanium.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatności w zabezpieczeniach procesorów AMD (Fallout/Masterkey/Ryzenfall/Chimera)
W dniu 13 marca 2018 r. firma CTS Labs opublikowała informacje dotyczące badania nad podatnościami bezpieczeństwa niektórych produktów AMD. Jeśli chodzi o serwery HPE, podatności dotyczą technologii AMD Secure Processor (PSP) wykorzystywanej w procesorach AMD EPYC z serii 7000 stosowanych w serwerach HPE ProLiant DL385 Gen10 i HPE Cloudline CL3150 Gen10. Te potencjalne podatności nie mają wpływu na żadne inne produkty serwerowe HPE.
HPE współpracuje z firmą AMD nad określeniem zakresu podatności oraz ewentualnych sposobów złagodzenia skutków. Na szczęście nowy produkt HPE DL385 Gen10 oferuje wszystkie nowe zabezpieczenia HPE, w tym HPE Silicon Root of Trust. Ta nowa technologia HPE chroni przed typowymi stanami blokady usług lub trwałej blokady usług, które mogą wywoływać jeden z elementów tej podatności.
HPE będzie na bieżąco przekazywać aktualności w miarę uzyskiwania nowych informacji we współpracy z AMD. Dodatkowo należy zapoznać się z oświadczeniem opublikowanym przez firmę AMD w dniu 20 marca.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Metoda analizy typu side-channel (Spectre i Meltdown) umożliwia ujawnienie danych mikroprocesorów (CVE-2017-5715, CVE-2017-5753 i CVE-2017-5754)
Ostatnio publicznie ujawniono podatności bezpieczeństwa typu side-channel (Spectre i Meltdown) oparte na spekulatywnym wykonywaniu instrukcji procesora. Takie podatności mogą wpływać na wymienione produkty HPE, potencjalnie prowadząc do ujawnienia informacji i podniesienia poziomu uprawnień. Złagodzenie skutków i usunięcie tych podatności może wymagać zarówno zastosowania aktualizacji systemu operacyjnego udostępnionej przez jego dostawcę, jak i aktualizacji systemowej pamięci ROM udostępnionej przez HPE. Ogólne wstępne oświadczenie firmy Intel jest dostępne tutaj.
Ponadto chcemy zwrócić uwagę naszych klientów na oświadczenie firmy Intel opublikowane w dniu 22 stycznia 2018 r., dotyczące problemów związanych z poprawką mikrokodu Intel mającą na celu wyeliminowanie podatności związanej z analizą typu side-channel. Firma Intel zaleca klientom zaprzestanie wdrażania na serwerach HPE ProLiant, HPE Synergy, HPE Superdome Flex i HPE Superdome X systemowych pamięci ROM zawierających zaktualizowany mikrokod i przywrócenie poprzedniej wersji systemowej pamięci ROM. Ocena skutków, do której łącze znajduje się poniżej, została odpowiednio zaktualizowana. Dodatkowe informacje o tym problemie zawiera poradnik dla klientów HPE oraz oficjalne ostrzeżenie dla klientów HPE. Należy pamiętać, że serwer HPE ProLiant DL385 Gen10 z aktualizacją mikrokodu AMD działa zgodnie z przeznaczeniem i oferuje mniejsze ryzyko wykorzystania podatności związanej z analizą typu side-channel.
Ocena skutków dla produktów HPE jest dostępna tutaj.
Łącza do poprawek dla zagrożonych produktów HPE są dostępne tutaj
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność bezpieczeństwa oprogramowania sprzętowego Intel Management Engine (ME) i Server Platform Services (SPS) (CVE-2017-5706/CVE-2017-5709)
Niedawno firma Intel, która jest jednym z naszych dostawców, odkryła potencjalną podatność bezpieczeństwa swojego oprogramowania sprzętowego Server Platform Services (SPS). Podatność bezpieczeństwa dotyczyła kilku jego architektur procesorów, jednak nie wszystkie z nich są stosowane w produktach HPE. W szczególności oprogramowanie sprzętowe SPS/ME używane w architekturze firmy Intel może zostać zmanipulowane poprzez dostęp fizyczny. W efekcie w środowisku SPS — w sposób niewidoczny dla użytkownika i administratora systemu operacyjnego — może być wykonywany nieuwierzytelniony kod.
Takie podatności nie są unikalne dla serwerów HPE i dotyczą wszystkich systemów wykorzystujących zidentyfikowane architektury procesorów Intel z wadliwymi wersjami oprogramowania sprzętowego.
Ocena skutków dla produktów HPE w postaci HTML lub arkusza kalkulacyjnego
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Ataki z ponowną instalacją kluczy WPA2 (zwane również „Krack Attack”)
W dniu 16 października 2017 roku analitycy bezpieczeństwa Mathy Vanhoef i Frank Piessens opisali podatności bezpieczeństwa protokołu Wi-Fi Protected Access II (WPA2) w opublikowanej przez siebie pracy Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2. Niektóre podatne formy ruchu związanego z uzgadnianiem WPA2 mogą zostać zmanipulowane w celu wygenerowania identyfikatora jednorazowego i ponownego użycia klucza sesji, co skutkuje ponowną instalacją klucza przez bezprzewodowy punkt dostępowy (AP) lub klienta bezprzewodowego. Pozwala to osobie atakującej będącej w zasięgu danego punktu dostępowego i klienta bezprzewodowego na odszyfrowanie dowolnych pakietów, wstrzyknięcie pakietów, przejęcie połączenia TCP i wstrzyknięcie zawartości HTTP.
Tej podatności przypisano następujące kody CVE: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.
Ocena skutków dla produktów HPE w postaci HTML lub arkusza kalkulacyjnego
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność bezpieczeństwa Apache Struts 2 (CVE-2017-9805)
Dodatek REST do platformy Apache Struts2 wykorzystuje program XStreamHandler z wystąpieniem XStream do deserializacji bez jakiegokolwiek filtrowania typu, co może prowadzić do zdalnego wykonywania kodu podczas deserializacji treści XML. Osoba atakująca może wykorzystać ten błąd do wykonania dowolnego kodu lub do przeprowadzenia dalszych ataków.
Aby dowiedzieć się więcej na temat CVE-2017-9805, patrz MITRE CVE Dictionary i NIST NVD.
Ocena skutków dla produktów HPE w postaci HTML lub arkusza kalkulacyjnego
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność bezpieczeństwa Microsoft Windows WCry/WannaCry Ransomware MS17-010 (CVE-2017-0143–CVE-2017-0148)
W dniu 12 maja 2017 r. nieznani sprawcy przeprowadzili atak za pomocą oprogramowania ransomware na klientów korzystających z systemu Microsoft Windows. Atak powodował zaszyfrowanie komputerów i serwerów przez oprogramowanie ransomware wywołujące stan typu blokada usług. W dniu 14 marca 2017 r. firma Microsoft opublikowała poprawkę MS17-010, która eliminowała tę podatność. Dodatkowe informacje o tej podatności bezpieczeństwa można uzyskać w firmie Microsoft — MS17-010 i NVD — CVE-2017-0143, CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0147, CVE-2016-0148.
Ocena skutków dla produktów HPE w postaci HTML lub arkusza kalkulacyjnego
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność bezpieczeństwa Intel AMT umożliwiająca podniesienie uprawnień — CVE-2017-5689
W dniu 1 maja 2017 r. firma Intel ujawniła nową podatność bezpieczeństwa swojego oprogramowania sprzętowego Intel Manageability Firmware, które jest używane w niektórych systemach z procesorami Intel. Ta podatność umożliwia nieuprawnionej sieci lub lokalnej osobie atakującej przejęcie kontroli nad funkcjami zdalnego zarządzania platformami Intel Active Management Technology (AMT), Intel Standard Manageability (ISM) i Intel Small Business Technology (SBT). Dodatkowe informacje na temat tej podatności mają oznaczenie CVE-2017-5689.
Ocena skutków dla produktów HPE w postaci HTML lub arkusza kalkulacyjnego
Dodatkowe informacje są dostępne w Centrum obsługi klienta HPE.
-
Podatność bezpieczeństwa Apache Struts 2 — CVE-2017-5638
W dniu 6 marca 2017 roku firma Apache ujawniła nową podatność bezpieczeństwa platformy Apache Struts 2. Podatność pozwala na zdalne wykonanie kodu podczas przesyłania plików za pomocą parsera wieloczęściowego Jakarta używanego na platformie Apache Struts 2. Taki błąd umożliwia osobie atakującej wysłanie nieprawidłowego nagłówka typu zawartości HTTP w ramach żądania przesłania pliku, co może skutkować wykonaniem dowolnego kodu w zagrożonym systemie. W przypadku jego wykorzystania osoba atakująca może wykraść krytyczne dane lub przejąć kontrolę nad zagrożonym systemem. Dodatkowe informacje na temat tej podatności mają oznaczenie CVE-2017-5638.
Ocena skutków dla produktów (HTML)
-
Podatność bezpieczeństwa jądra systemu Linux umożliwiająca podniesienie uprawnień („Dirty COW”)
W dniu 19 października 2016 r. ujawniono podatność bezpieczeństwa jądra systemu Linux umożliwiającą podniesienie uprawnień. Stwierdzono występowanie sytuacji wyścigu przy obsłudze przez podsystem pamięci jądra systemu Linux łamania mapowania prywatnej pamięci ROM przez kopiowanie przy zapisie (COW). Taki błąd pozwala nieuprawnionemu użytkownikowi lokalnemu na uzyskanie dostępu do mapowania pamięci ROM z możliwością zapisu, a tym samym na uzyskanie większych uprawnień w jądrze systemu Linux. Ta podatność jest określana jako „Dirty COW”. Dodatkowe informacje na temat tej podatności mają oznaczenie CVE-2016-5195.
Ocena skutków dla produktów (HTML)
-
Podatność bezpieczeństwa obsługi zmiennej środowiskowej HTTP_PROXY („FalseCONNECT”)
W dniu 15 sierpnia 2016 r. ujawniono podatność zwaną FalseCONNECT w implementacji HTTP 407 (wymaga uwierzytelnienia proxy) dla metody CONNECT. Jako że takie żądania są zawsze wysyłane w formie zwykłego tekstu poprzez HTTP, są podatne na ataki typu „man-in-the-middle”, za pomocą których można ujawniać poświadczenia użytkowników, a w niektórych implementacjach renderować kod HTML i skrypty w klienckim DOM w kontekście zabezpieczeń. Wstrzykiwanie kodu, jak również manipulowanie nagłówkami uwierzytelniania 407 w kontekście metody CONNECT może narazić użytkownika na ataki metodą phishingu, jak również na obniżenie poziomu uwierzytelnienia. Dodatkowe informacje na temat tej podatności mają oznaczenie CERT VU#905344.
-
Podatność bezpieczeństwa CGI („HTTPoxy”) dla aplikacji PHP, Go, Python i innych
W dniu 18 lipca 2016 r. ujawniono podatność bezpieczeństwa obsługi zmiennej środowiskowej HTTP_PROXY przez serwery internetowe, struktury internetowe i języki programowania działające w środowiskach CGI lub podobnych do CGI, określaną jako HTTPoxy. Podatność wynika z użycia danych wejściowych użytkownika do ustawienia zmiennej środowiskowej HTTP_PROXY bez wystarczającej walidacji. Ta podatność może umożliwić nieuwierzytelnionej osobie atakującej przeprowadzenie zdalnego ataku typu „man-in-the-middle” (MITM) lub przekierowanie ruchu wychodzącego na dowolny serwer, co może spowodować ujawnienie wrażliwych danych. Dodatkowe informacje na temat tej podatności mają oznaczenie CVE-HTTPoxy.
Ocena skutków dla produktów (HTML)
-
Atak międzyprotokołowy na TLS przy użyciu SSLv2 (DROWN) — CVE-2016-0800
W dniu 1 marca 2016 r. ujawniono nowy atak, określany mianem DROWN (Decrypting RSA using Obsolete and Weakened eNcryption; deszyfrowanie RSA korzystającego z przestarzałego, słabego szyfrowania). Jest to atak międzyprotokołowy, który wykorzystuje podatność bezpieczeństwa protokołu SSLv2 do deszyfrowania pasywnie zebranych sesji TLS. Dodatkowe informacje na temat tej podatności mają oznaczenie CVE-2016-0800.
-
Przepełnienie bufora stosu w funkcji Getaddrinfo() z biblioteki Glibc
W dniu 28 lipca 2015 r. ujawniono podatność bezpieczeństwa serwerów nazw DNS opartych na ISC BIND. Ta podatność może pozwolić na zdalne przeprowadzenie ataku typu „blokada usług” na serwery nazw z ISC BIND. Dodatkowe informacje o podatności obsługi zapytań ISC BIND TKEY mają oznaczenie CVE-2015-5477.
-
Podatność bezpieczeństwa procesorów Intel (zwana również „Memory Sinkhole”)
W dniu 16 lutego 2016 r. publicznie ujawniono podatność bezpieczeństwa związaną z przepełnieniem bufora stosu w bibliotece C typu GNU (glibc). Błąd wykryto w funkcji getaddrinfo() z biblioteki glibc. Aplikacje korzystające z tej funkcji mogą być wykorzystywane przez osoby atakujące do zdalnego wykonania kodu na zagrożonym urządzeniu. Dodatkowe informacje o tej podatności są dostępne w witrynie NIST i mają oznaczenie CVE-2015-7547.
-
Podatność bezpieczeństwa obsługi zapytań ISC BIND TKEY — CVE-2015-5477
Omówienie
W dniu 6 sierpnia 2015 r., na konferencji poświęconej bezpieczeństwu Black Hat w Las Vegas, analityk bezpieczeństwa Christopher Domas zademonstrował instalację programu typu rootkit w oprogramowaniu sprzętowym komputera. Domas nadał demonstracji kryptonim „memory sinkhole”. W ataku wykorzystano funkcję wbudowaną w mikroukłady x86 produkowane od połowy lat 90. do czasu wprowadzenia w 2011 roku procesora Intel Xeon z serii E5-2600 (tj. Sandy Bridge-EP).
Podatność występuje w zaawansowanym programowalnym kontrolerze przerwań (APIC), umożliwiając atak na obszar pamięci SMM (System Management Mode) używany przez system operacyjny do wymiany danych ze środowiskiem rozruchowym, takim jak BIOS, EFI czy UEFI. Osoba atakująca może wykorzystać tę podatność do użycia trybu wykonywania o najwyższych uprawnieniach i potencjalnego zastąpienia zabezpieczeń w środowisku rozruchowym. W demonstracji wykorzystano funkcje kodu UEFI do zainstalowania programu typu rootkit.
Potencjalne skutki
Firma HPE zbadała potencjalny wpływ tego problemu na nasze produkty dla przedsiębiorstw (tj. serwery, pamięci masowe i sieci). Ustaliła, że serwery HPE ProLiant Gen8 i Gen9 nie są zagrożone, ponieważ firma Intel wcześniej usunęła taki błąd projektowy z procesorów Intel Xeon z serii E5-2600 i nowszych modeli procesorów serwerowych. Należy pamiętać, że procesory Intel Xeon z serii E5-2600 są używane w serwerach ProLiant Gen8.
Ponadto firma HPE zbadała potencjalny wpływ tego problemu na serwery HPE ProLiant z serii G5, G6 i G7 i stwierdziła, że nie są one podatne na ten konkretny atak zademonstrowany przez Christophera Domasa na konferencji Black Hat. Firma Intel udostępnia dla tych serwerów aktualizację mikrokodu, która zapobiegnie potencjalnemu naruszeniu bezpieczeństwa przy próbie wykorzystania tej podatności. Jako dodatkowy środek bezpieczeństwa, HPE zamierza zaimplementować ten mikrokod w aktualizacji systemowej pamięci ROM serwerów ProLiant, która zostanie udostępniona klientom do bezpłatnego pobrania na stronie internetowej Centrum obsługi klienta HPE.
Co można zrobić?
Należy regularnie sprawdzać na tej stronie dostępność aktualizacji systemowej pamięci ROM serwerów ProLiant z serii G5, G6 i G7.
-
Podatność OpenSSL Alternative Chains Certificate Forgery
W dniu 9 lipca 2015 r. organizacja OpenSSL ujawniła błąd w sposobie weryfikacji alternatywnych łańcuchów certyfikatów. Dotyczy to wyłącznie wersji OpenSSL wydanych od czerwca 2015 roku: 1.0.2c, 1.0.2b, 1.0.1o i 1.0.1n. Wykorzystanie tej podatności może pozwolić osobie atakującej na ominięcie pewnych kontroli poprawności certyfikatów, umożliwiając wystawienie nieważnego certyfikatu. Dodatkowe informacje o podatności VENOM są dostępne w witrynie NIST i mają oznaczenie CVE-2015-1793.
-
Podatność VENOM — CVE-2015-3456
W dniu 13 maja 2015 r. ujawniono podatność bezpieczeństwa kodu wirtualnej stacji dysków używanej przez wiele platform wirtualizacyjnych. Wykorzystanie tej podatności może pozwolić osobie atakującej na uniknięcie statusu gościa zagrożonej maszyny wirtualnej (VM) i potencjalnie na wykonanie kodu na hoście. Dodatkowe informacje o podatności VENOM są dostępne w witrynie NIST i mają oznaczenie CVE-2015-3456.
-
Podatność Glibc „GHOST”
W dniu 27 stycznia 2015 r. publicznie ujawniono podatność bezpieczeństwa związaną z przepełnieniem bufora stosu w bibliotece C typu GNU (glibc). Wykryto błąd w zestawie funkcji gethostbyname z biblioteki C typu GNU (glibc), który umożliwia wykonanie dowolnego kodu. Dodatkowe informacje o tej podatności są dostępne w witrynie NIST i mają oznaczenie CVE-2015-0235.
-
Podatność SSLv3 POODLE — CVE-2014-3566
W dniu 14 października 2014 r. ujawniono podatność bezpieczeństwa protokołu SSLv3. Wykorzystanie tej podatności może pozwolić osobie atakującej na odszyfrowanie części zaszyfrowanego ruchu za pomocą ataku POODLE (Padding Oracle on Downgraded Legacy Encryption). Dodatkowe informacje o SSLv3 POODLE są dostępne w witrynie NIST i mają oznaczenie CVE-2014-3566.
-
Podatność GNU Bourne Again Shell (Bash) „Shellshock”
24 września 2014 r. ujawniono podatność Bash w zabezpieczeniach systemów operacyjnych opartych na platformie Unix, takich jak Linux i Mac OS X. Wykorzystanie tej podatności może pozwolić osobie atakującej na zdalne wykonanie dowolnego kodu w zagrożonym systemie. Więcej informacji o tym problemie można znaleźć pod oznaczeniem CVE-2014-7169.
-
Podatność bezpieczeństwa OpenSSL „Heartbleed”
W dniu 8 kwietnia 2014 r. firma HP została powiadomiona o podatności bezpieczeństwa OpenSSL CVE-2014-0160 (obecnie znanej jako Heartbleed). Ta podatność spotkała się z dużym zainteresowaniem mediów. W sekcji zasobów znajduje się łącze do wpisu w National Vulnerability Database, w którym zawarto szczegółowy opis problemu. Protokół OpenSSL jest używany w niektórych produktach HP do szyfrowania i usług SSL.
Usługi wsparcia technicznego
Usługi wsparcia technicznego są dostępne w Centrum obsługi klienta HPE.
Usługi zabezpieczania i ochrony cyfrowej HPE