Luka w AMI MegaRAC SPx pozwala bez hasła przejąć kontroler zarządzania serwera i całą maszynę poniżej systemu. CISA potwierdza ataki. Odetnij interfejsy BMC od internetu i zaktualizuj oprogramowanie układowe.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własne serwery w szafie, serwerowni lub kolokacji, także te kupione razem z macierzą dyskową. Werdykt: jeśli serwer ma kontroler zarządzania z oprogramowaniem AMI MegaRAC SPx sprzed wersji 12.7 lub 13.5, zaktualizuj jego oprogramowanie układowe i odetnij interfejs zarządzania od internetu NATYCHMIAST, bo luka daje pełną władzę nad serwerem bez hasła.
Amerykańska agencja CISA 25 czerwca 2025 roku dopisała CVE-2024-54085 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w AMI MegaRAC SPx, oprogramowaniu kontrolerów zarządzania płytą główną (BMC), czyli małych komputerów wbudowanych w serwery. Przez interfejs Redfish napastnik może ominąć logowanie, podszywając się pod uprawnioną stronę, i przejąć kontroler, a z nim całą maszynę.
Lukę wykryła firma Eclypsium i ujawniła w marcu 2025 roku razem z kodem pokazującym tworzenie konta administratora bez logowania. Producent ocenił ją na maksymalne 10.0. Oprogramowanie MegaRAC trafia do serwerów wielu marek. Termin naprawy wg CISA minął 16 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-54085 |
Data dodania do CISA KEV | 2025-06-25 |
Termin naprawy wg CISA | 2025-07-16 |
Produkt | AMI MegaRAC SPx (oprogramowanie kontrolera BMC), interfejs Redfish Host Interface. Wg NVD m.in. urządzenia NetApp H300S, H500S, H700S, H410S, H410C, SG6160, SGF6112, SG110, SG1100. Wg Eclypsium (za Ars Technica) MegaRAC używają m.in. AMD, Ampere Computing, ASRock, ARM, Fujitsu, Gigabyte, Huawei, Nvidia i Qualcomm |
Wersje zagrożone | MegaRAC SPx 12.x przed 12.7 i 13.x przed 13.5. Atak wymaga dostępu sieciowego do interfejsu zarządzania, nie wymaga konta ani udziału użytkownika |
Wersje bezpieczne | MegaRAC SPx 12.7 i 13.5 oraz nowsze. W praktyce poprawkę dostarcza producent serwera w swoim oprogramowaniu układowym BMC; nie wszyscy producenci wydali poprawki (wg Eclypsium) |
Typ podatności | Obejście uwierzytelnienia przez podszycie (spoofing); CWE-290 |
Ocena CVSS | AMI (producent): 10.0 KRYTYCZNA (CVSS 4.0, z wysokim wpływem na systemy następcze). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, niska złożoność, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie biurowiec, w którym oprócz zwykłych drzwi jest pokój zarządcy budynku. Zarządca ma własne wejście, własne zasilanie i klucze do wszystkiego: może wyłączyć prąd na piętrze, wejść do każdego biura, wymienić zamki. Działa nawet wtedy, gdy biurowiec jest zamknięty na noc. Teraz wyobraź sobie, że strażnik pokoju zarządcy wpuszcza każdego, kto powie „jestem z administracji”, bez sprawdzania dokumentów.
Tak działa ta luka. Kontroler BMC pozwala administratorowi włączać i wyłączać serwer, oglądać jego ekran i instalować system od nowa, także gdy serwer jest wyłączony. Działa poniżej systemu operacyjnego, więc antywirus go nie widzi, a reinstalacja systemu nie usuwa zmian w nim. Podatny MegaRAC dawał się przekonać, że rozmawia z kimś uprawnionym, bez hasła. Długość haseł, ich zmiana i szkolenia pracowników niczego tu nie zmieniają.
💡 BMC (Baseboard Management Controller) to mały, niezależny komputer na płycie głównej serwera, służący do zarządzania nim na odległość. Redfish to standardowy interfejs, przez który narzędzia administracyjne rozmawiają z kontrolerami BMC. Oprogramowanie układowe (firmware) to program zapisany w samym urządzeniu, aktualizowany osobno od systemu. Systemy następcze w CVSS 4.0 to systemy, na które skutki ataku przenoszą się z podatnego elementu, tu cały serwer.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do interfejsu zarządzania serwerem | Tylko po zalogowaniu administratora | Możliwy bez hasła |
Wyłączenie lub reinstalacja serwera | Tylko przez administratora | Przez napastnika, z dowolnego miejsca w sieci |
Antywirus i zabezpieczenia systemu | Chronią serwer | Nie widzą zmian w kontrolerze |
Odtworzenie systemu z kopii | Usuwa skutki włamania | Nie usuwa zmian w oprogramowaniu kontrolera |
Serwer wyłączony na noc | Nieosiągalny | Kontroler nadal działa i odpowiada |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu; CISA nie podała szczegółów trwających ataków. Według oceny CISA atak jest automatyzowalny, więc interfejsy BMC widoczne z internetu lub z przejętej sieci firmowej mogą być wyszukiwane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie interfejsów BMC z MegaRAC w internecie lub w sieci, do której napastnik już wszedł | Lista kontrolerów |
2. Obejście logowania | T+sekundy | Spreparowane żądanie do interfejsu Redfish | Dostęp bez hasła, możliwość utworzenia konta administratora |
3. Kontrola nad serwerem | T+minuty | Wyłączenie, restart, podgląd ekranu, podmontowanie obrazu systemu | Pełna władza nad maszyną |
4. Utrwalenie | T+godziny | Możliwe wszczepienie kodu w oprogramowanie kontrolera (wg Eclypsium) | Obecność odporna na reinstalację systemu |
5. Kradzież i ruch w sieci | T+dni | Odczyt danych i poświadczeń, przejście na inne kontrolery BMC | Kolejne serwery pod kontrolą |
6. Sabotaż | T+dowolny moment | Uszkodzenie oprogramowania układowego, serwery nie startują | Długi przestój, możliwa wymiana sprzętu |
Włamanie do systemu serwera zwykle kosztuje odtworzenie z kopii. Włamanie do kontrolera BMC może oznaczać utratę zaufania do samego sprzętu, bo kontroler działa poniżej systemu, a jego oprogramowanie rzadko jest aktualizowane i rzadko sprawdzane.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączone lub nieuruchamiające się serwery, konieczna wymiana sprzętu lub oprogramowania układowego | Minuty do dni | 30 tys. do 400 tys. PLN (przestój, wymiana sprzętu) |
Bezpieczeństwo danych | Dostęp do danych i poświadczeń na serwerze, poza zasięgiem antywirusa | Godziny | 30 tys. do 250 tys. PLN (analiza sprzętu i oprogramowania) |
Finansowy | Utracona sprzedaż, koszty nowego sprzętu i specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Długa niedostępność usług dla klientów | Tygodnie | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów z MegaRAC SPx bez poprawki
i interfejsem zarządzania osiągalnym z sieci
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna władza nad serwerem poniżej systemu), a prawdopodobieństwo wysokie (atak automatyzowalny, potwierdzony przez CISA, EPSS około 0,61), ale zależy od tego, czy interfejs BMC jest osiągalny; kontroler w wydzielonej sieci administracyjnej jest znacznie trudniejszym celem.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy interfejs zarządzania BMC któregokolwiek serwera ma publiczny adres lub jest osiągalny z internetu, i zablokować to | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Spisać serwery i urządzenia z kontrolerami BMC oraz ustalić, czy używają AMI MegaRAC SPx | Dziś | Administrator |
3 | 🟠 PILNIE | Pobrać od producenta serwera oprogramowanie układowe BMC z poprawką (MegaRAC 12.7, 13.5 lub nowsze) i je zainstalować | Do 3 dni | Administrator / partner IT |
4 | 🟠 PILNIE | Przenieść interfejsy BMC do wydzielonej sieci administracyjnej, niedostępnej z komputerów pracowników | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć listę kont w kontrolerach BMC i usunąć nieznane | Do 3 dni | Administrator |
6 | 🟡 WAŻNIE | Zapytać producentów sprzętu o status poprawek, jeśli nie są dostępne | Do 7 dni | CTO |
7 | 🟡 WAŻNIE | Wpisać aktualizacje oprogramowania układowego BMC do harmonogramu prac serwisowych | Do 30 dni | CTO |
AMI wydało poprawione wersje MegaRAC SPx, ale do firm trafiają one przez producentów serwerów, a według Eclypsium nie wszyscy już je udostępnili. Do czasu aktualizacji kluczowe jest odcięcie interfejsu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie interfejsu BMC od internetu | Wysoka wobec skanowania z zewnątrz | Łatwa |
Wydzielona sieć administracyjna z dostępem tylko z kilku stanowisk | Wysoka: ogranicza atak także z wnętrza sieci | Średnia |
Wyłączenie interfejsu Redfish, jeśli producent serwera na to pozwala i nie jest używany | Średnia do wysokiej, zależna od sprzętu | Średnia |
Monitorowanie nowych kont i logowań w kontrolerach BMC | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Interfejs BMC | Osiągalny z internetu lub z sieci biurowej | W wydzielonej sieci administracyjnej |
Oprogramowanie układowe BMC | Nieaktualizowane od zakupu | MegaRAC 12.7, 13.5 lub nowsze |
Wiedza o sprzęcie | Nie wiadomo, czyje oprogramowanie jest w kontrolerze | Spis serwerów z typem i wersją BMC |
Konta w kontrolerach | Niesprawdzane | Tylko znane konta administratorów |
Aktualizacje | Tylko system operacyjny | System i oprogramowanie układowe w harmonogramie |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA), bez publicznych szczegółów ataków |
Grupy przestępcze | Brak potwierdzonych informacji; Eclypsium uważa za najbardziej prawdopodobnych sprawców grupy szpiegowskie działające na rzecz Chin, ale to ocena, nie ustalenie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (AMI, CVSS 4.0); 9.8 KRYTYCZNA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | TAK: Eclypsium przy ujawnieniu w marcu 2025 opublikowało kod pokazujący utworzenie konta administratora bez logowania (wg Ars Technica) |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 0,61, w górnym 1% wszystkich luk (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): tak; wpływ techniczny: całkowity |
Różnica między 10.0 a 9.8 wynika z wersji skali, a nie z innej oceny sytuacji: CVSS 4.0 uwzględnia skutki dla całego serwera kontrolowanego przez BMC.
Sygnały zagrożenia dla CVE-2024-54085
CVSS 4.0 (AMI) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~61% ████████████░░░░░░░░ górny 1% luk
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-03-11 AMI publikuje biuletyn AMI-SA-2025003 (aktualizacja 13 marca)
2025-03-11 Publikacja CVE-2024-54085 w NVD, ujawnienie przez Eclypsium z kodem PoC
2025-03-28 NetApp publikuje biuletyn dla swoich urządzeń
2025-06-25 CISA dodaje lukę do katalogu KEV
2025-07-16 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: AMI-SA-2025003 . Biuletyn NetApp: NTAP-20250328-0003 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-54085 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać potwierdzenie, że żaden interfejs zarządzania serwerem nie jest dostępny z internetu | CTO | DZISIAJ |
2 | Zlecić spis serwerów z typem kontrolera BMC i wersją oprogramowania | CTO | DZISIAJ |
3 | Zapytać dostawców sprzętu, czy ich serwery używają MegaRAC SPx i gdzie są poprawki | CTO | DO JUTRA |
4 | Zatwierdzić okno serwisowe z restartem serwerów na aktualizację BMC | CTO | DO JUTRA |
5 | Zarezerwować budżet na wydzieloną sieć administracyjną | CFO | DO JUTRA |
6 | Sprawdzić gwarancje i umowy serwisowe pod kątem aktualizacji oprogramowania układowego | CFO | DO JUTRA |
7 | Dodać pytanie o oprogramowanie BMC i politykę poprawek do kryteriów zakupu serwerów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy któryś interfejs BMC ma publiczny adres lub jest osiągalny z internetu? | TAK / NIE | 🔴 |
2 | Które nasze serwery i urządzenia używają AMI MegaRAC SPx? | [lista] | 🔴 |
3 | Jaka wersja MegaRAC jest w każdym z nich? | [wersja] | 🔴 |
4 | Czy producent serwera udostępnił poprawione oprogramowanie układowe? | TAK / NIE | 🟠 |
5 | Czy interfejsy BMC są w wydzielonej sieci administracyjnej? | TAK / NIE | 🟠 |
6 | Czy w kontrolerach BMC są konta, których nikt nie potrafi przypisać? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowaliśmy oprogramowanie układowe serwerów? | [data] | 🟡 |
CVE-2024-54085 w AMI MegaRAC SPx pozwala bez hasła przejąć kontroler zarządzania serwera, a z nim władzę nad całą maszyną poniżej systemu operacyjnego. CISA potwierdza ataki, atak jest automatyzowalny, a kod PoC publiczny, więc odcięcie interfejsów BMC od internetu to zadanie na dziś, a aktualizacja oprogramowania układowego i wydzielenie sieci administracyjnej na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.