圖片來源: 

Lenovo

聯想(Lenovo)於上周更新了含有後門的交換器韌體—Enterprise Networking Operating System(ENOS),該韌體被應用在Lenovo Flex System Fabric、RackSwitch及BladeCenter等型號的網路交換器,將允許第三方繞過驗證機制,取得管理權限,而且是在2004年就存在的,於ENOS轉手兩次,經歷了13年之後才被聯想工程師發現。

此一編號為CVE-2017-3765的安全漏洞是個「驗證旁路」(Authentication Bypass)漏洞。根據聯想的說明,ENOS最初是由Nortel旗下的刀鋒伺服器交換器事業部(Blade Server Switch Business Unit,BSSBU)所開發,在2004年時,BSSBU因應OEM客戶的請求,特意將該後門嵌入韌體中。

接著BSSBU在2006年脫離Nortel,獨立成為BLADE Network Technologies(BNT),IBM於2010年買下了BNT,聯想在2014年自IBM手上買下BNT資產,幾經轉手,都沒有人發現或修復ENOS的後門。

而聯想則是因最近收購了其他業者,並針對所有產品的韌體展開內部稽核,才發現這個已存在13年的安全漏洞。聯想表示,該公司無法接受繞過驗證機制的作法,同時它也不符合聯想產品的安全政策,因此已自ENOS原始碼中移除了此一機制,同時更新相關產品的韌體。

受到波及的網路交換器型號涵蓋了仍舊採用IBM品牌的IBM Flex System、IBM Flex System Fabric、IBM BladeCenter、IBM RackSwitch,以及採用聯想品牌的Lenovo Flex System、Lenovo Flex System Fabric與Lenovo Rack Switch等。


Advertisement

更多 iThome相關內容