Cette faille d'une gravité exceptionnelle permet de prendre le contrôle total de milliers de serveurs dans le monde

Une vulnérabilité hautement critique, activement exploitée, donne un contrôle total sur les serveurs via le BMC, ce composant qui permet de les gérer à distance, même éteints.

Depuis plusieurs mois, une faille critique, notée 10 sur l’échelle CVSS, permet à des attaquants de prendre la main sur des milliers de serveurs à travers le monde – sans identifiants, sans alerte, et même si la machine est hors tension. Non, ce n’est pas de la science-fiction, mais bien une réalité désormais confirmée par l’agence américaine de cybersécurité (CISA), qui vient d’ajouter la vulnérabilité CVE-2024-54085 à sa liste des failles activement exploitées. En jeu, un accès privilégié à l’infrastructure des serveurs, rendu possible par un composant peu connu du grand public : le BMC.

Un contrôleur vous échappe, et c’est toute l’infrastructure qui tombe

Dans le détail, la faille touche le firmware MegaRAC d'AMI, largement utilisé dans les contrôleurs BMC (Baseboard Management Controller). Ces composants, intégrés aux cartes mères de nombreux serveurs – chez AMD, ARM, Fujitsu, Gigabyte, Supermicro, Qualcomm ou encore Nvidia, notamment – permettent aux administrateurs et administratrices système de gérer des flottes entières à distance : redémarrage, mise à jour, réinstallation du système d’exploitation, modification de la configuration… même si l’équipement est éteint ou que l’OS n’est pas opérationnel.

Une fonctionnalité pratique, mais aussi une cible de choix. Car une fois ce composant compromis, l’attaquant peut non seulement prendre le contrôle total du serveur, mais aussi se déplacer vers d’autres équipements du réseau si l’environnement n’est pas cloisonné, et ainsi compromettre progressivement l’ensemble de l’infrastructure.

Identifiée par la société Eclypsium et signalée dès mars 2025, CVE-2024-54085 permet à un attaquant de contourner l’authentification en envoyant une simple requête HTTP au BMC vulnérable. Il peut alors créer un compte administrateur sans fournir d’identifiants. Une démonstration d’attaque avait été présentée en guise de preuve de concept par les chercheurs à l’origine de la découverte, qui précisaient alors qu’aucune exploitation active n’avait encore été observée.

Mais ce n’est officiellement plus le cas. Ce mercredi 25 juin, la CISA a confirmé que la vulnérabilité était désormais exploitée dans des attaques réelles. Aucun détail public n’a été communiqué sur les cibles ou les méthodes, mais les soupçons se portent sur des groupes de cyberespionnage étatiques. Eclypsium évoque notamment plusieurs APT chinois connus pour cibler les firmwares et viser des infrastructures sensibles.

Des milliers de serveurs potentiellement concernés

Si cette vulnérabilité suscite autant d’inquiétude, c’est parce qu’elle dépasse largement le cadre d’un piratage classique. Une fois un BMC compromis, les possibilités pour un attaquant sont nombreuses, graves et particulièrement difficiles à contrer :

• Injection directe de code malveillant dans le firmware, difficile à détecter et résistant aux réinstallations système ou aux changements de disque ;

• Contrôle total du serveur à distance, y compris son démarrage, son arrêt ou sa reconfiguration, quel que soit l’état de l’OS ;

• Contournement des outils de sécurité, puisque le BMC opère en dehors du système d’exploitation ;

• Récupération d’identifiants sensibles stockés localement, et possibilité de mouvement latéral dans le réseau ;

• Espionnage passif, via la mémoire système ou les interfaces réseau du serveur, et exfiltration de données sensibles ;

• Sabotage par corruption du firmware, rendant le serveur inutilisable.

Autrement dit, un attaquant qui s’engouffre dans la brèche peut non seulement établir une présence furtive et persistante, mais aussi transformer un BMC compromis en tête de pont pour étendre son emprise à l’ensemble de l’infrastructure.

Selon Eclypsium, la faille affecte une large gamme de produits utilisant l’interface Redfish de MegaRAC. Sont notamment concernés les parcs de serveurs équipés de cartes mères fournies ou configurées par AMD, ARM, Ampere Computing, ASRock, Fujitsu, Gigabyte, Huawei, Nvidia, Supermicro ou encore Qualcomm.

Certains constructeurs ont déjà publié des correctifs, après avoir intégré les mises à jour fournies en amont par AMI. Mais vu l’hétérogénéité des environnements menacés, il appartient à chaque administrateur ou administratrice de vérifier l’état des BMC déployés sur leurs serveurs, et de consulter leur fabricant pour confirmer la disponibilité d’un patch adapté à leur matériel.

Sources : CISA, Eclypsium, Ars Technica