漏洞公告 | AMI MegaRAC BMC远程代码执行漏洞

近日，华云安安全团队发现了Eclypsium发布安全公告，修复了一个存在于AMI MegaRAC BMC中的安全漏洞。对此，华云安建议用户及时更新修复。

【产品描述】

 AMI MegaRAC是AMI公司的一系列服务处理器产品。可独立于操作系统状态或位置对计算机系统进行完整的带外或无灯光远程管理，以对计算机进行故障排除并确保服务的连续性。

【漏洞编号】CVE-2022-40259

【风险等级】超危

【影响版本】

暂不确定影响范围

【受影响资产情况】

【技术细节表述】

AMI MegaRAC BMC的Redfish API实现中存在命令注入漏洞，拥有低权限的攻击者可通过发送特制HTTP请求来利用此漏洞，从而在目标系统上以sysadmin权限执行任意代码。

【修补措施】

官方已发布更新修复，参考链接如下：

https://lists.apache.org/thread/rxytj48q17304snonjtyt5lnlw64gccc

【漏洞来源】

https://eclypsium.com/2022/12/05/supply-chain-vulnerabilities-put-server-ecosystem-at-risk/