คำชี้แจงและแผนการแก้ไขและรองรับต่อช่องโหว่เฟิร์มแวร์ Vertiv BMC
| วันที่: | 29 กรกฎาคม 2562 |
|---|---|
| ช่องโหว่: |
|
| ผลิตภัณฑ์ที่ได้รับผลกระทบ: | ผลิตภัณฑ์เซิร์ฟเวอร์ GIGABYTE ที่ใช้ ASPEED AST2300, AST2400 หรือ AST2500 BMC หรือ AST1250 CMC พร้อมกับ Vertiv Avocent MergePoint EMS Firmware |
เรียนลูกค้าผู้มีอุปการคุณทุกท่าน
GIGABYTE ตระหนักว่าเมื่อไม่นานมานี้มีช่องโหว่ด้านความปลอดภัยที่ค้นพบด้วยแพลตฟอร์ม Avocent MergePoint EMS ที่เผยแพร่โดย Vertiv และใช้เป็นเฟิร์มแวร์สำหรับผลิตภัณฑ์เซิร์ฟเวอร์ของ GIGABYTE ที่ใช้กับ Aspeed AST2300, AST2400 หรือ AST2500 BMC หรือ AST1250 CMC (Eclypsium ในโพสต์บล็อกของพวกเขาที่นี่):
- CVE-2019-6260: ฮาร์ดแวร์และเฟิร์มแวร์ ASPEED AST2400 และ AST2500 Baseband Management Controller (BMC) ใช้เฟิร์มแวร์บัสประสิทธิภาพสูงขั้นสูง (AHB) ซึ่งอนุญาตให้มีการอ่านและเขียนเข้าถึงพื้นที่ที่อยู่ทางกายภาพของ BMC จากโฮสต์
- CVE-2018-9086: มีช่องโหว่อยู่ในคำสั่งดาวน์โหลดเฟิร์มแวร์ของ BMC ซึ่งจะช่วยให้ผู้ใช้ที่มีสิทธิ์ดาวน์โหลดและใช้รหัสโดยพลการภายใน BMC แต่ทั้งนี้สามารถใช้ประโยชน์โดยผู้ใช้ที่ได้รับอนุญาต (authorized privileged users) เท่านั้น
- การตรวจสอบการเข้ารหัสลับ: กระบวนการอัพเดตเฟิร์มแวร์ BMC สำหรับ Avocent MergePoint EMS ไม่ได้ทำการตรวจสอบลายเซ็นการเข้ารหัสลับก่อนที่จะยอมรับการอัพเดตและการเขียนเนื้อหาไปยังแฟลช SPI
GIGABYTE ได้ออกเวอร์ชั่นเฟิร์มแวร์ที่อัปเดตแล้ว (มีให้ดาวน์โหลดจากหน้าเวปเพจของผลิตภัณฑ์) พร้อมกับโปรแกรมแก้ไขเพื่อจัดการกับช่องโหว่ดังต่อไปนี้:
- สำหรับผลิตภัณฑ์ GIGABYTE ที่ใช้ ASPEED AST2500, อัพเดตเฟิร์มแวร์ Vertiv เฟิร์มแวร์เวอร์ชั่น 1.84 พร้อมแพทช์สำหรับช่องโหว่ CVE-2019-6260 และ CVE-2018-9086 เปิดตัวเมื่อวันที่ 7 พฤษภาคม 2562
- สำหรับผลิตภัณฑ์ GIGABYTE ที่ใช้ ASPEED AST2400, อัพเดต Vertiv firmware รุ่น 8.83_4.83 พร้อมแพตช์สำหรับช่องโหว่ CVE-2019-6260 ได้รับการเผยแพร่ในวันที่ 22 กรกฎาคม, 2562
- สำหรับผลิตภัณฑ์ GIGABYTE ที่ใช้ ASPEED AST1250 CMC, อัพเดตเฟิร์มแวร์ Vertiv เฟิร์มแวร์เวอร์ชั่น 1.33 พร้อมโปรแกรมแก้ไขช่องโหว่ CVE-2018-9086 ได้รับการเผยแพร่ในวันที่ 22 กรกฎาคม 2562
GIGABYTE เร่งการออกอัพเดตเฟิร์มแวร์ Vertiv เพื่อแก้ไขช่องโหว่ที่เหลือ โปรดค้นหาเฟิร์มแวร์ปัจจุบันของเรา / กำหนดการอัพเดทด้านล่าง (เราจะแจ้งให้ทราบล่วงหน้าในกรณีที่มีการเปลี่ยนแปลง):
| Vulnerability | AST2500 | AST2400 | AST1250 CMC | AST2400 ARM | AST2300 |
|---|---|---|---|---|---|
| CVE-2019-6260 | Available Patched Version: 1.84 Current Version: 1.91 |
Available Patched Version: 8.83_4.83 Current Version: 8.86_4.86 |
N/A* | Available Patched Version: 771_371 Current Version: 772_372 |
Available Patched / Current Version: 2.43 |
| CVE-2018-9086 | Available Patched Version: 1.84 Current Version: 1.91 |
Available Patched Version: 8.85_4.85 Current Version: 8.86_4.86 |
Available Patched / Current Version: 1.33 |
Available Patched Version: 771_371 Current Version: 772_372 |
Available Patched / Current Version: 2.43 |
| การตรวจสอบลายเซ็นเข้ารหัสสำหรับกระบวนการอัปเดต | Available Patched / Current Version: 1.91 |
Available Patched / Current Version: 8.86_4.86 |
Available Patched / Current Version: 1.34 |
Available Patched / Current Version: 772_372 |
Available Patched / Current Version: 2.43 |
* AST1250 CMC ไม่รองรับฟังก์ชั่นการเข้าถึงโฮสต์
นอกจากนี้ GIGABYTE ได้ประกาศ End of Support (EOS) อย่างเป็นทางการ สำหรับ Avocent MergePoint EMS การสนับสนุนจะมีให้จนถึงวันที่ 27 มีนาคม 2563 สำหรับลูกค้าที่ใช้ผลิตภัณฑ์เซิร์ฟเวอร์ GIGABYTE ที่มี ASPEED AST2500 BMC ขอแนะนำให้เปลี่ยนเป็น โซลูชันเฟิร์มแวร์ AMI MegaRAC SP-X รุ่นใหม่ของเรา สำหรับข้อมูลเพิ่มเติมเกี่ยวกับ EOS ของ Vertiv เฟิร์มแวร์และคำแนะนำเกี่ยวกับวิธีการเปลี่ยนเป็น AMI โปรดดูที่นี่: https://www.gigabyte.com/Press/News/1700
สำหรับข้อมูลเพิ่มเติมหรือความช่วยเหลือโปรดตรวจสอบกับตัวแทนจำหน่าย GIGABYTE ของคุณหรือส่งอีเมลถึงเราที่ marketing(at)gigacomputing.com
