Серверы Quanta Cloud Technology подвержены уязвимости трехгодичной давности

Исследование специалистов из Eclypsium показало, что северы Quanta Cloud Technology (QTC) оказались подвержены уязвимости CVE-2019-6260 .

CVE-2019-6260, также известная как Pantsdown, имеет оценку 9.8 по шкале CVSS. Обнаруженная в январе 2019 года, уязвимость позволяла атакующему удаленно получить доступ к консоли и в результате выполнить вредоносный код, читать и записывать произвольные данные, менять настройки конфигурации и даже вызывать отказ в обслуживании.

В своем исследовании Eclypsium подробно описала атаку с использованием Pantsdown: “Злоумышленник запускает вредоносный код на уязвимом сервере QCT, потом переходит с узла сервера на контроллер управления материнской платой (Baseboard Management Controller или же BMC), чтобы перенести атаку в сеть управления сервером. После этого хакер может продолжить атаку, захватить остальные BMC в сети и получить доступ к другим серверам".

В списке затронутых моделей серверов QCT оказались D52BQ-2U, D52BQ-2U 3UPI, D52BV-2U. Они поставляются с BMC версии 4.55.00, на которых установлено ПО, уязвимое к Pantsdown. Но на момент написания этой новости патч уже доступен клиентам компании в частном порядке, но не выложен в открытый доступ.

На фоне обнаружения подобных уязвимостей специалисты настоятельно рекомендуют следить за обновлениями микропрограммного обеспечения и применять их по мере выпуска новых версий.

Напомним, ранее сообщалось про уязвимость CVE-2019-6260. Три года назад она была обнаружена разработчиком ПО IBM Linux Technology Center Стюартом Смитом, который и назвал ее Pantsdown.