Серверы Intel и Lenovo пострадали от уязвимости в Lighttpd шестилетней давности

Уязвимость веб-сервера Lighttpd, используемого в контроллерах управления основной платой, возникшая почти шесть лет назад, была упущена из виду многими поставщиками устройств, включая Intel и Lenovo.

Это может привести к краже адресов памяти процесса, чтобы обойти такие механизмы защиты, как рандомизация размещения адресного пространства (ASLR).Lighttpd — это веб-сервер с открытым исходным кодом, который потребляет минимум системных ресурсов.

В ходе недавнего сканирования контроллеров управления основной платой (BMC) исследователи из компании Binarly, занимающейся безопасностью встроенного программного обеспечения, обнаружили уязвимость OOB, которую можно использовать удалённо через этот веб-сервер.Разработчики Lighttpd незаметно исправили её в августе 2018 года в версии 1.4.51, не назначая идентификатор отслеживания (CVE).Это привело к тому, что разработчики AMI MegaRAC BMC пропустили исправление и не смогли интегрировать его в продукт.