Lỗ hổng bảo mật bị khai thác triệt để cho phép kiểm soát đặc biệt đối với toàn bộ hệ thống máy chủ.

Tác giả tanthanh 10/02/2026 8 phút đọc

Tin tặc đang khai thác một lỗ hổng có mức độ nghiêm trọng tối đa có khả năng cung cấp cho họ quyền kiểm soát hoàn toàn đối với hàng nghìn máy chủ, nhiều máy chủ trong số đó xử lý các nhiệm vụ quan trọng bên trong các trung tâm dữ liệu, Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ cảnh báo.

Lỗ hổng, mang mức độ nghiêm trọng 10 trên 10 có thể, nằm trong AMI MegaRAC, một gói chương trình cơ sở được sử dụng rộng rãi cho phép các nhóm máy chủ lớn được truy cập và quản lý từ xa ngay cả khi không có nguồn điện hoặc hệ điều hành không hoạt động. Các bộ vi điều khiển gắn trên bo mạch chủ này, được gọi là bộ điều khiển quản lý bo mạch chủ (BMC), cung cấp khả năng kiểm soát đặc biệt đối với các máy chủ bên trong trung tâm dữ liệu.

Quản trị viên sử dụng BMC để cài đặt lại hệ điều hành, cài đặt hoặc sửa đổi ứng dụng và thực hiện thay đổi cấu hình cho số lượng lớn máy chủ mà không cần có mặt tại cơ sở và trong nhiều trường hợp, không bật máy chủ. Sự thỏa hiệp thành công của một BMC duy nhất có thể được sử dụng để chuyển sang mạng nội bộ và thỏa hiệp tất cả các BMC khác.

Chúng tôi không cần thông tin đăng nhập stinkin’

CVE-2024-54085, khi lỗ hổng được theo dõi, cho phép bỏ qua xác thực bằng cách thực hiện một yêu cầu web đơn giản tới thiết bị BMC dễ bị tấn công qua HTTP. Lỗ hổng được phát hiện bởi hãng bảo mật Eclypsium và tiết lộ vào tháng 3. Tiết lộ bao gồm mã khai thác bằng chứng khái niệm cho phép kẻ tấn công từ xa tạo tài khoản quản trị viên mà không cần cung cấp bất kỳ xác thực nào. Tại thời điểm tiết lộ, không có báo cáo nào về việc lỗ hổng đang được khai thác tích cực.

Vào thứ Tư, CISA thêm vào CVE-2024-54085 vào danh sách các lỗ hổng được biết là bị khai thác trong tự nhiên. Thông báo không cung cấp thêm thông tin chi tiết.

Trong một email hôm thứ Năm, các nhà nghiên cứu của Eclypsium cho biết phạm vi khai thác có tiềm năng rộng:

Những kẻ tấn công có thể xâu chuỗi nhiều khai thác BMC để cấy mã độc trực tiếp vào firmware của BMC, làm cho sự hiện diện của chúng cực kỳ khó phát hiện và cho phép chúng tồn tại khi cài đặt lại hệ điều hành hoặc thậm chí thay thế đĩa.
Bằng cách hoạt động bên dưới HĐH, kẻ tấn công có thể trốn tránh việc bảo vệ điểm cuối, ghi nhật ký và hầu hết các công cụ bảo mật truyền thống.
Với quyền truy cập BMC, kẻ tấn công có thể bật hoặc tắt nguồn từ xa, khởi động lại hoặc định hình lại máy chủ, bất kể trạng thái của hệ điều hành chính.
Những kẻ tấn công có thể cạo thông tin xác thực được lưu trữ trên hệ thống, bao gồm cả những thông tin được sử dụng để quản lý từ xa và sử dụng BMC làm bệ phóng để di chuyển ngang trong mạng
BMC thường có quyền truy cập vào bộ nhớ hệ thống và giao diện mạng, cho phép kẻ tấn công đánh hơi dữ liệu nhạy cảm hoặc lọc thông tin mà không bị phát hiện
Những kẻ tấn công có quyền truy cập BMC có thể cố tình làm hỏng chương trình cơ sở, khiến máy chủ không thể khởi động được và gây gián đoạn hoạt động đáng kể

Không có chi tiết được biết đến công khai về các cuộc tấn công đang diễn ra, không rõ nhóm nào có thể đứng đằng sau chúng. Eclypsium cho biết thủ phạm rất có thể sẽ là các nhóm gián điệp làm việc thay mặt cho chính phủ Trung Quốc. Tất cả năm nhóm APT cụ thể mà Eclypsium có tên đều có lịch sử khai thác các lỗ hổng firmware hoặc có quyền truy cập liên tục vào các mục tiêu có giá trị cao.

Eclypsium cho biết dòng thiết bị AMI MegaRAC dễ bị tấn công sử dụng giao diện có tên Redfish. Các nhà sản xuất máy chủ được biết là sử dụng các sản phẩm này bao gồm AMD, Ampere Computing, ASRock, ARM, Fujitsu, Gigabyte, Huawei, Nvidia và Qualcomm. Một số, nhưng không phải tất cả, các nhà cung cấp này đã phát hành các bản vá cho sản phẩm của h.

Với thiệt hại có thể xảy ra từ việc khai thác lỗ hổng này, quản trị viên nên kiểm tra tất cả BMC trong đội tàu của họ để đảm bảo chúng không dễ bị tổn thương. Với các sản phẩm từ rất nhiều nhà sản xuất máy chủ khác nhau bị ảnh hưởng, quản trị viên nên tham khảo ý kiến của nhà sản xuất khi không chắc chắn nếu mạng của họ bị lộ.