КиберосноваSGRC
BDU:2025-00187
Высокий

BDU:2025-00187: Уязвимость контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem, позволяющая нарушителю выполнить произвольные команды

CVSS v37.2
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2025-00187

Описание

Уязвимость контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды с помощью специально созданной команды IPMI

Что делать с BDU:2025-00187

Высокая уязвимость (CVSS 7.2) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.2Высокий
Пересчитать →
v2
9.0
Только просмотр
AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-78

CVE — международный идентификатор

CVE-2024-38512
LEN-156781
CWE-78
Внедрение команд ОС

Позволяет выполнять произвольные команды операционной системы через пользовательский ввод.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду ОС: ping {input} → ping 8.8.8.8; rm -rf /. Сервер выполняет обе команды.

Последствия

Полный контроль над ОС сервера: чтение файлов, установка бэкдора, lateral movement.

Рекомендации

Никогда не конструируйте команды из пользовательского ввода. Используйте API вместо shell-команд.

Тактики и техники

Инъекция

Уязвимое ПО (143)

ВендорНазваниеВерсияПлатформа
Lenovo Group LimitedHX5530 Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX7530 Appl for SAP HANA (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedVX3331 Certified Node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX Enclosure Certified Nodeдо 4.11 TGBT50CНе указана
Lenovo Group LimitedHX1021 Edge Certified Node 3yrдо 4.11 TEI3E4AНе указана
Lenovo Group LimitedHX1320 Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX1321 Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX1331 Certified Node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX1520-R Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX1521-R Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX2320-E Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX2321 Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX2330 Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX2331 Certified Node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX2720-E Applianceдо 4.11 TGBT50CНе указана
Lenovo Group LimitedHX3320 Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX3321 Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX3330 Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX3331 Certified Node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX3331 Node SAP HANA (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX3375 Applianceдо 5.61 D8BT64DНе указана
Lenovo Group LimitedHX3376 Certified Nodeдо 5.61 D8BT64DНе указана
Lenovo Group LimitedHX3520-G Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX3521-G Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX3720 Applianceдо 4.11 TGBT50CНе указана
Lenovo Group LimitedHX3721 Certified Nodeдо 4.11 TGBT50CНе указана
Lenovo Group LimitedHX5520 Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX5520-C Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX5521 Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX5521-C Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX5531 Certified Node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX7520 Applianceдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedHX7521 Certified Nodeдо 9.97 CDI3B4BНе указана
Lenovo Group LimitedVX7531 Certified Nodeдо 4.71Не указана
Lenovo Group LimitedHX7531 Node SAP HANA (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedHX7820 Applianceдо 3.11 PSI354AНе указана
Lenovo Group LimitedHX7821 Certified Nodeдо 3.11 PSI354AНе указана
Lenovo Group LimitedMX Edge Appliance - MX1020до 4.11 TEI3E4AНе указана
Lenovo Group LimitedMX3330-F All-flash Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3330-H Hybrid Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3331-F All-flash Certified node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3331-H Hybrid Certified node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3530 F All flash Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3530-H Hybrid Appliance (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedMX3531 H Hybrid Certified node (ThinkAgile)до 4.71Не указана
Lenovo Group LimitedThinkAgile MX1021 on SE350до 4.11 TEI3E4AНе указана
Lenovo Group LimitedVX 1SE Certified Nodeдо 4.11 TGBT50CНе указана
Lenovo Group LimitedVX 2U4N Certified Nodeдо 4.11 TGBT50CНе указана
Lenovo Group LimitedHX1320 Applianceдо 4.11 TGBT50CНе указана
Lenovo Group LimitedVX2320до 9.97 CDI3B4BНе указана

Показано 50 из 143

Рекомендации по устранению

Использование рекомендаций: https://support.lenovo.com/vn/en/product_security/ps500634-lenovo-xclarity-controller-xcc-vulnerabilities

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.2

Уточните SLA под вашу среду

Базовый балл 7.2 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации1.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2024-07-09

Опубликована

2025-01-13

Обновлена

2025-01-19

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2024-38512 MITRE: CWE-78 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2025-00186
Высокий
7.2

Уязвимость контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem, позволяющая нарушителю выполнит

BDU:2025-00192
Высокий
7.2

Уязвимость веб-интерфейса или интерфейса командной оболочки контроллера Lenovo XClarity Controller (XCC) для серверов Le

BDU:2025-00193
Высокий
7.2

Уязвимость контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem, связанная с непринятием мер по

BDU:2025-00194
Высокий
7.2

Уязвимость контроллера Lenovo XClarity Controller (XCC) для серверов Lenovo ThinkSystem, позволяющая нарушителю выполнит

BDU:2022-04454
Критический
9.8

Уязвимость функции удаленного подключения микропрограммного обеспечения стоечных серверов Lenovo ThinkSystem, рабочих ст

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0