Une vulnérabilité hautement critique, activement exploitée, donne un contrôle total sur les serveurs via le BMC, ce composant qui permet de les gérer à distance, même éteints.
Il s’agit des interfaces permettant de gérer un serveur sans y avoir un accès physique tel que IDRAC, Lilo, Intel AMT. Donc rien d’étonnant qu’ils permettent de controler un serveur meme éteint car c’est une interface « adossée » à un serveur.
Elle n’en reste pas moins importante, mais il faut avoir accès au réseau gérant ces interfaces. Ce qui n’est pas aussi simple que ce qui est décrit dans l’article.
11 « J'aime »
Même avis.
Je gère des serveurs HPE, qui ont l’interface ILO ; mais jamais d’accès extérieur.
Uniquement en local ou via VPN, et mot de passe par défaut changé ; mise à jour firmware ILO très fréquent.
2 « J'aime »
Si le travail est bien fait en amont, les accès sont filtrés / isolés / monitorés au niveau firewall
Ok tu vis chez les bisounours ou en 14.02 ?
Non, il se peux aussi avec une faille quelque part arriver à outrepasser ce cloisonnement…
Il n’ y a jamais de risque zéro.
1 « J'aime »
Le risque zéro n’'existe pas mais ces mesures permettent de très grandmement réduire le risque.
Il vit dans le monde réel, rien de plus.
Des administrateurs et des administratrices ??? En informatique on directement des admins ou des administrateurs peut importe le sexe de l admin. 
.
Allez faire un tour dans les data center…
C’est pareil avec certains outils de gestion VMWare qui sont exposés à l’internet alors qu’ils ne devraient jamais l’être. A part en housing, le locataire d’un serveur dédié n’a pas son propre routeur pour protéger son système, sauf s’il a une machine virtuelle à cet usage. Du coup, il sécurise son serveur par le firewall de l’OS (pas terrible s’il s’agit de Windows) et ce firewall logiciel ne joue que sur l’OS du serveur et pas du tout sur la carte de remote accesse (Idrac ou ILO), qui est indépendante.
Dans le même genre, je suis stupéfait qu’OVH propose encore du FTP (notoirement insecure car aucun chiffrage des données ni du mot de passe) pour les hébergements de sites Wordpress et que les webmaster réclament çà au lieu de passer en SFTP.
1 « J'aime »