HP waarschuwt voor ernstig lek in serverbeheertool iLO 4
HP heeft een waarschuwing afgegeven voor een ernstig beveiligingslek in een tool waarmee HP-servers op afstand worden beheerd. Via de kwetsbaarheid in Integrated Lights-out 4 (iLO 4) kan een aanvaller op afstand toegang tot servers krijgen en daarop willekeurige code uitvoeren.
Vanwege de impact van de kwetsbaarheid adviseert HP om zo snel als mogelijk in actie te komen. Integrated Lights-out is een technologie om HP-servers op afstand mee te beheren. De iLO-kaart heeft een aparte netwerkverbinding en een eigen ip-adres, waarmee via https verbinding kan worden gemaakt. Vervolgens is het onder andere mogelijk om de server te resetten, in te schakelen en de remote system console of command-line interface te benaderen.
HP stelt dat een aanvaller via de kwetsbaarheid de authenticatie kan omzeilen en willekeurige code kan uitvoeren. Op een schaal van 10 heeft het beveiligingslek een 9,8 en een 10 gekregen. Organisaties krijgen dan ook het advies om HPE Integrated Lights-out 4 (iLO 4) firmware versie 2.53 of nieuwer zo snel als mogelijk te installeren, aangezien het probleem daarin is verholpen.
Toch is de impact voor de gemiddelde organisatie nihil in mijn optiek; simpelweg omdat een beetje beheerder zijn netwerk waarin ILO interfaces zich bevinden totaal geisoleerd houdt van al het andere en tevens onder geen enkel beding aan het internet koppelt.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Uhhh wacht eens....
Van het weekend de servers bij klanten checken.
Uhhh wacht eens....
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Ik heb zelf wel wat servers maar daarbij zit de ILO achter de router in een netwerksegment wat ik via VPN kan bereiken.
Tevens zit de SSH toegang voor de servers in dat segment, ESXi beheer, etc.
De "open internet" poort draait alleen de services die je op internet aanbiedt.
Nou zijn dat natuurlijk opstellingen waar bij er meerdere fysieke servers in een kastdeel zitten en ook een router, als je
alleen 1 losse server afneemt is dit lastig zelf te regelen (hoewel een klein routertje er vaak nog wel ergens tussen te
frommelen is) maar juist bij dat soort diensten zou de hoster dit zelf moeten aanbieden op hun router.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Alleen al de schaarste aan IP (v4) adressen lijkt me een reden om niet nodeloos twee publieke adressen per server te willen opofferen.
Waar dit wel een enorme impact gaat hebben, is de dedicated servermarkt (bv een Leaseweb). Dit omdat die lui eigenlijk altijd ILO interfaces aan het internet hangen zodat de huurder zelf de boel kan inrichten..
Ik heb ook maar 1U en een DL360 server daar hangen. Ik heb toevallig 2 netwerk poortjes gekregen 1 voor mijn productie netwerk en 1 voor ILO. Ik kan er niet even een firewall bij plaatsen om er een apart beheer netwerk voor te bouwen. Wat moet ik dan doen?
Moet ik een 2de U er bij huren om een firewall te plaatsen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
