Asus ASMB5-iKVM Exploit Usando Indocumentados, Ocultos Cuentas Root Shell

Mientras trabajaba en mi servidor Asus, Descubrí cuentas shell raíz indocumentados presentes en el módulo remoto Asus ASMB5-iKVM que no aparecen en la interfaz web. Increíblemente, Yo era capaz de iniciar sesión con una cuenta de root en el anonimato y ver el resto de contraseñas de cuentas ya que se almacenan en texto claro.

Esta es la negligencia de seguridad por parte de Asus.

Esta explotación es supuestamente corregido en la versión de firmware 1.10, pero las cuentas ocultas se mantuvo después de la actualización. Es necesario restablecer el módulo IPMI a valores de fábrica antes de este error de seguridad es fijo.

El módulo de Asus IPMI proporciona acceso ssh en el puerto 22. Después de iniciar sesión, comprobar el /conf / clearpasswd presentar a la lista todas las demás cuentas del módulo. Usted puede ver su propia contraseña que aparece en texto claro, junto con las contraseñas para el administrador, raíz y "anónimo" cuentas.

Cómo actualizo el firmware a la versión 1.10 encima 1.5 Hace años, pero no había ningún aviso de seguridad que me dice que reiniciar el módulo a los valores de fábrica. De hecho, la opción por defecto es conservar la configuración. Estas cuentas root han sido en mi servidor durante ese tiempo y no tenía ni idea hasta hoy. Descubrí esto por accidente al intentar restablecer una contraseña de cuenta.

Se espera que los errores y los errores y siempre hay algo de qué preocuparse en la seguridad TI. Mantener este tipo de problemas ocultos no es la solución. Seguridad de Asus es negligente no a causa de un error de aficionado, pero la forma en que manejó el problema.

La fijación del error

Si usted tiene el firmware más antiguo que 1.10, a continuación, actualizar el módulo y desmarca la casilla de "Preservar la configuración del sistema". Preservar la configuración preservará el problema de seguridad, demasiado.

Si ha instalado la versión 1.10 y seleccionado para preservar la configuración, que necesita para volver a instalar la versión 1.10 y elimina la marca de la "preservar" caja. Uso "Mantenimiento -> Restaurar Fábrica" inicio de sesión bloqueado para el "anónimo" cuenta, pero todavía se permite el acceso de "raíz" con la contraseña por defecto se muestra arriba.

Después de volver a aplicar el firmware y restablecimiento de la configuración, Me doy cuenta de solución de Asus es bloquear todo el acceso a la shell a la consola. Después de la actualización, usted sólo podrá utilizar el "Smash" interfaz de comandos. Acceso shell Busybox está bloqueado. Esta es una solución de aficionados a un error de aficionados.