HP waarschuwt voor ernstig lek in serverbeheertool iLO 4
HP heeft een waarschuwing afgegeven voor een ernstig beveiligingslek in een tool waarmee HP-servers op afstand worden beheerd. Via de kwetsbaarheid in Integrated Lights-out 4 (iLO 4) kan een aanvaller op afstand toegang tot servers krijgen en daarop willekeurige code uitvoeren.
Vanwege de impact van de kwetsbaarheid adviseert HP om zo snel als mogelijk in actie te komen. Integrated Lights-out is een technologie om HP-servers op afstand mee te beheren. De iLO-kaart heeft een aparte netwerkverbinding en een eigen ip-adres, waarmee via https verbinding kan worden gemaakt. Vervolgens is het onder andere mogelijk om de server te resetten, in te schakelen en de remote system console of command-line interface te benaderen.
HP stelt dat een aanvaller via de kwetsbaarheid de authenticatie kan omzeilen en willekeurige code kan uitvoeren. Op een schaal van 10 heeft het beveiligingslek een 9,8 en een 10 gekregen. Organisaties krijgen dan ook het advies om HPE Integrated Lights-out 4 (iLO 4) firmware versie 2.53 of nieuwer zo snel als mogelijk te installeren, aangezien het probleem daarin is verholpen.
Toch is de impact voor de gemiddelde organisatie nihil in mijn optiek; simpelweg omdat een beetje beheerder zijn netwerk waarin ILO interfaces zich bevinden totaal geisoleerd houdt van al het andere en tevens onder geen enkel beding aan het internet koppelt.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Uhhh wacht eens....
Van het weekend de servers bij klanten checken.
Uhhh wacht eens....
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Ik heb zelf wel wat servers maar daarbij zit de ILO achter de router in een netwerksegment wat ik via VPN kan bereiken.
Tevens zit de SSH toegang voor de servers in dat segment, ESXi beheer, etc.
De "open internet" poort draait alleen de services die je op internet aanbiedt.
Nou zijn dat natuurlijk opstellingen waar bij er meerdere fysieke servers in een kastdeel zitten en ook een router, als je
alleen 1 losse server afneemt is dit lastig zelf te regelen (hoewel een klein routertje er vaak nog wel ergens tussen te
frommelen is) maar juist bij dat soort diensten zou de hoster dit zelf moeten aanbieden op hun router.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Alleen al de schaarste aan IP (v4) adressen lijkt me een reden om niet nodeloos twee publieke adressen per server te willen opofferen.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Ik heb ook maar 1U en een DL360 server daar hangen. Ik heb toevallig 2 netwerk poortjes gekregen 1 voor mijn productie netwerk en 1 voor ILO. Ik kan er niet even een firewall bij plaatsen om er een apart beheer netwerk voor te bouwen. Wat moet ik dan doen?
Moet ik een 2de U er bij huren om een firewall te plaatsen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.