セキュリティ

SECURITY

公開：2024-08-21

Intel製サーバープラットフォームのOpenBMCファームウェアに脆弱性、情報漏洩やサービス拒否攻撃のリスクに対処

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Intel製サーバープラットフォームのOpenBMCファームウェアに脆弱性
• CVE-2023-35123とCVE-2023-49144の2つの脆弱性が報告
• Intelがファームウェアアップデートを公開し対策を実施

Intel製サーバープラットフォームのOpenBMCファームウェアの脆弱性と対策

Intelは2024年8月13日、一部のIntel製サーバープラットフォーム向けOpenBMCファームウェアに存在する潜在的なセキュリティ脆弱性に関する情報を公開した。これらの脆弱性は情報漏洩やサービス拒否攻撃を引き起こす可能性があるため、Intelはこれらの潜在的な脆弱性を緩和するためのファームウェアアップデートをリリースしている。^[1]

報告された脆弱性は2つあり、1つ目はCVE-2023-35123として識別されている。これはOpenBMCファームウェアのバージョンegs-1.14-0およびbhs-0.27より前のバージョンに存在する未捕捉の例外に関するものだ。この脆弱性により、認証されたユーザーがネットワークアクセスを介してサービス拒否攻撃を可能にする可能性がある。

2つ目の脆弱性はCVE-2023-49144として識別されており、OpenBMCファームウェアのバージョンegs-1.15-0およびbhs-0.27より前のバージョンに存在する境界外読み取りに関するものだ。この脆弱性により、特権を持つユーザーがローカルアクセスを介して情報漏洩を引き起こす可能性がある。両脆弱性ともに、CVSSスコアにより中程度から高度の深刻度が示されている。

Intel製サーバープラットフォームの脆弱性対策まとめ

OpenBMCファームウェアについて

OpenBMCファームウェアとは、サーバーのベースボード管理コントローラー（BMC）用のオープンソースファームウェアのことを指しており、主な特徴として以下のような点が挙げられる。

• サーバーのリモート管理を可能にする
• 電源管理、センサー監視、ログ記録などの機能を提供
• オープンソースであるため、カスタマイズや拡張が容易

Intel製サーバープラットフォームでは、OpenBMCファームウェアが重要な役割を果たしている。今回の脆弱性はEagle Streamプラットフォームを採用する第4世代および第5世代Intel Xeonスケーラブルプロセッサを搭載したサーバー製品に影響を与える可能性がある。Intelは、これらの問題に対処するための最新バージョンのファームウェアをシステム製造元から入手し、更新することをユーザーに推奨している。

Intel製サーバープラットフォームの脆弱性対策に関する考察

Intelによる迅速な脆弱性の公開と対策の提供は、企業のセキュリティ姿勢として評価に値する。特に、CVSSスコアが中程度から高度の範囲にある脆弱性に対して、具体的な対策を示したことは、ユーザーの信頼維持につながるだろう。しかし、これらの脆弱性が発見されたこと自体が、サーバー環境のセキュリティ管理の難しさを浮き彫りにしている。

今後の課題として、OpenBMCファームウェアの開発プロセスにおけるセキュリティ強化が挙げられる。オープンソースプロジェクトの特性上、多くの目によるコードレビューが可能だが、同時にそれが脆弱性の発見につながる可能性もある。Intelには、コミュニティと協力しながら、より堅牢なセキュリティ設計と実装を進めることが求められるだろう。

ユーザー側の対応としては、定期的なファームウェア更新の重要性が再認識される。今回の事例を教訓に、サーバー管理者はセキュリティアップデートの適用を迅速に行う体制を整えるべきだ。また、Intelには今後もこのような脆弱性情報の迅速な公開と、わかりやすい対策指示の継続が期待される。サーバーセキュリティの向上は、デジタルインフラの信頼性確保に直結する重要な課題である。

参考サイト

1. ^ Intel. 「INTEL-SA-01078」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01078.html, (参照 24-08-21).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧