Lenovo corrige une vulnérabilité réseau héritée avec le rachat des serveurs IBM

Selon Lenovo, l'exploitation de la vulnérabilité sur ses équipements réseau n'est possible que dans certaines situations « limitées et improbables ».

Lenovo a corrigé une porte dérobée découverte dans certains de ses switchs Ethernet ainsi que sur les commutateurs RackSwitch et BladeCentre d’IBM. Selon le fabricant, c’est la gamme SystemX d'IBM acquise en 2014 qui a introduit un mécanisme de contournement de l’authentification. La vulnérabilité surnommée HP Backdoor a été découverte lors d'un audit de sécurité réalisé par Lenovo sur les interfaces Telnet et de gestion de console série, ainsi que sur les interfaces SSH et de gestion Web du firmware Enterprise Network Operating System (ENOS) maison. Une refonte de l'historique du code source a permis de découvrir l’ajout en 2004 d’un mécanisme de contournement d'authentification à la demande d'un client OEM de l’unité Blade Server Switch Business Unit (BSSBU) de Nortel, à l’époque propriétaire de ENOS.

Deux ans plus tard, en 2006, Nortel divise l’unité BSSBU pour créer une unité Blade Network Technologies acquise en 2010 par IBM. « Ces mécanismes de contournement de l'authentification ou des autorisations ne respectant pas la sécurité des produits Lenovo ou les pratiques de l'industrie ne sont pas acceptables », a écrit le chinois sur la page de son site dédié à la sécurité. « Lenovo a supprimé ce mécanisme du code source d'ENOS et a mis à jour le firmware des produits concernés ». Les mises à jour sont disponibles ici.

Lenovo cherche à rassurer ses clients

Selon le fournisseur chinois, l’exploitation de la vulnérabilité n’est possible que dans certaines situations « limitées et improbables ». En effet, seules des circonstances spécifiques permettent d’accéder à ce mécanisme de contournement en utilisant des informations d'identification propres à chaque commutateur au moment de l'exécution d'une authentification locale. Dans ce cas, l'exploitation de la vulnérabilité donne un accès ‘admin’ au commutateur ». Lenovo a déclaré que son firmware Cloud Network Operating System n’était pas concerné par le problème.

Voici la liste des interfaces ENOS vulnérables communiquée par Lenovo :

Interfaces Telnet et Serial Console au moment de l'authentification locale, ou en combinant RADIUS, TACACS+ ou LDAP et l'authentification locale dans des circonstances spécifiques décrites ci-dessous.
Interface Web lors de l'exécution d'une combinaison RADIUS ou TACACS+ et d'une authentification locale associée à une condition improbable dans des circonstances spécifiques décrites ci-dessous.
Interface SSH pour certains firmwares livrés entre mai 2004 et juin 2004 (uniquement) lors de l'exécution d'une combinaison RADIUS ou TACACS+ et de l'authentification locale dans des circonstances spécifiques décrites ci-dessous. Le code vulnérable est présent dans les firmwares plus récents, mais n'est pas utilisé.

Selon le vendeur, le mécanisme de contournement n'a pas été exploité.