请立即修复！服务器巨头核心固件曝7个高危漏洞
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
超微公司的底板管理控制器存在多个安全漏洞，可能导致权限升级和执行恶意代码。攻击者可以利用这些漏洞创建具有管理员权限的账户，并在BMC系统中执行恶意代码。超微公司已发布固件更新以修复这些漏洞。
🎯
关键要点
- 超微公司的底板管理控制器 (BMC) 存在多个安全漏洞，可能导致权限升级和执行恶意代码。
- 攻击者可以利用这些漏洞创建具有管理员权限的账户，并在 BMC 系统中执行恶意代码。
- 超微公司已发布固件更新以修复这些漏洞。
- 漏洞编号包括 CVE-2023-40284 到 CVE-2023-40290，危险系数不等。
- CVE-2023-40284、CVE-2023-40287 和 CVE-2023-40288 是三个跨站点脚本 (XSS) 漏洞，CVSS 分数为 9.6。
- CVE-2023-40285 和 CVE-2023-40286 也是 XSS 漏洞，CVSS 得分为 8.6。
- CVE-2023-40289 是操作系统命令注入漏洞，CVSS 得分为 9.1。
- CVE-2023-40290 是一个 XSS 漏洞，CVSS 得分为 8.3，仅限于 Windows 上的 Internet Explorer 11 浏览器。
- CVE-2023-40289 漏洞允许攻击者获得 root 访问权限并完全控制 BMC 系统。
- 攻击者可以通过网络钓鱼电子邮件诱导用户点击链接，从而触发 XSS 有效负载的执行。
- 尽管存在这些漏洞，但目前没有证据表明已被恶意利用。
- 攻击者可以通过合法的 iKVM 远程控制 BMC 功能访问服务器的操作系统，或用恶意固件闪烁目标系统的 UEFI。
- 攻击者可能在内部网络中横向移动，入侵其他主机。
➡️
