Mitte März machte eine gravierende Sicherheitslücke in der Firmware von Serverfernwartungschips die Runde. Betroffen ist die Firmware AMI MegaRAC, die auf Baseboard-Management-Controllern (BMC) vieler Server läuft, etwa von ASUS, HPE und Lenovo. Abhilfe schaffen Firmware-Updates, soweit die Serverhersteller sie schon anbieten. Mit einem Python-Skript lässt sich zudem ermitteln, ob auch Server mit anderen BMC-Chips betroffen sind. Administratoren sollten bei dieser Gelegenheit überprüfen, ob der Betrieb des Fernwartungsnetzwerks in einem separaten LAN-Segment abgeschottet ist.

Die Sicherheitslücke CVE-2024-54085 ist mit der Maximalzahl von 10.0 Punkten im Common Vulnerability Scoring System (CVSS) bewertet. Ursache der Schwachstelle ist ein Authentifizierungs-Bypass in der Redfish-Schnittstelle der Firmware AMI MegaRAC. Die Lücke lässt sich nur durch ein Firmware-Update schließen.

Die HTTPS-basierte Redfish Scalable Platforms Management API (kurz Redfish) ist eine Spezifikation zur Serverfernwartung. Sie wurde erstmals 2015 mit dem Ziel veröffentlicht, das veraltete Intelligent Platform Management Interface (IPMI) und hier vor allem das als unsicher geltende IPMI-over-LAN zu ersetzen. Redfish erzwingt TLS-Verschlüsselung, was das Ausspähen von Zugangsdaten übers Netz unterbindet.