最近、複数のサーバーメーカーで採用されている「 AMI MegaRAC Baseboard Management Controller（BMC）」において、深刻なセキュリティ脆弱性が発見されました。この問題は、Redfish管理インターフェースの認証をバイパスすることで、攻撃者がサーバーを完全に制御できるという深刻なリスクを伴っています。Eclypsiumの研究チームによると、攻撃者は当該脆弱性を悪用してリモートからサーバーを完全に掌握し、マルウェアやランサムウェアの配布、ファームウェアの改ざん、BMCやBIOS・UEFIの破損までも実行可能であると警告しています。本記事では、CVE-2024-54085の原因とその影響、およびCriminal IPを活用した実践的な検知・防御戦略について解説します。
CVE-2024-54085の概要と影響
脆弱性の概要
CVE-2024-54085は、2023年に報告された認証バイパス脆弱性「CVE-2023-34329」のパッチ検証中に新たに発見されたものです。影響を受けるのは、MegaRAC SP-X 2024-08-27以前のバージョンであり、HPE Cray XD670やAsus RS720A-E11-RS24Uなどのサーバー製品が脆弱であることが確認されました。
脆弱性の原因は、Redfishインターフェース内の「host-interface-support-module.lua」スクリプトにおけるHTTPヘッダー値検証の不備によるものです。攻撃者は、X-Server-Addrの値を書き換えたり、内部IPアドレスを使用することで、認証プロセスを回避できます。
セキュリティ脅威
- リモートからのサーバー制御・乗っ取り
- マルウェア・ランサムウェアの配布
- ファームウェアの改ざん・主要部品（BMC、BIOS・UEFI）の破損
- データセンター全体の運用停止（無限再起動攻撃）
Eclypsiumの調査によると、世界中で1,000以上のMegaRAC SP-X Redfishインスタンスがインターネットに公開されており、内部ネットワーク経由の攻撃も可能であることから、セキュリティリスクが非常に大きいと警告しました。
Criminal IPを通じた AMI MegaRAC BMCの脆弱性検知
Criminal IPのIT資産検索は、インターネット上に公開されたAMI MegaRAC BMC関連の資産を迅速かつ効果的に検出し、セキュリティリスクを評価するのに適したツールです。以下の2つの検索クエリを活用することで、脆弱な資産を素早く見つけることができます。
ハニーポットが含まれたMegaRAC SP-Xの検知クエリ
Criminal IPの検索クエリ：title: MegaRAC SP-X
当クエリは、ハニーポット（Honeypot）を含むMegaRAC SP-X資産を検索します。ハニーポットは、セキュリティ調査や攻撃者分析のためのおとりシステムであるため、実際の資産と区別する必要があります。
Criminal IPで検索された公開中のMegaRAC SP-X資産は、2025年3月27日時点で合計1,449件確認されました。
このIPアドレスは検索結果の1つで、開いているポートが数十個以上あります。主にハニーポットでよく発生するポートを示しており、実際の資産とは異なる挙動を示す可能性があります。
ハニーポットを除いた AMI MegaRAC SP-Xの検出クエリ
Criminal IPの検索クエリ：ssl_subject_organization: “American Megatrends Incorporated” title: MegaRAC SP-X
このクエリは、「American Megatrends Incorporated」証明書を持つ資産のみを検索します。これにより、企業のネットワーク環境で実際にインターネットに公開されている資産を特定することができます。
2025年3月27日時点で、Criminal IPで検索されたMegaRAC SP-X関連資産は328件でした。これらの資産は、ハニーポットを除外した、実際の公開資産であり、攻撃者が侵入する可能性がある本物の資産です。
Criminal IPのIT資産検索を活用することでMegaRAC BMCの脆弱な資産をリアルタイムで検出し、ハニーポットを除いた本物の資産を把握することは、セキュリティ防御に重要です。これにより、攻撃者に悪用される前に脆弱性をブロックし、迅速な対応を可能にする体制を構築できます。
FAQ（よくある質問）
Q1. AMI MegaRAC BMCとは何ですか？
BMC（Baseboard Management Controller）とは、AMI MegaRACのようなリモート管理ソリューションに搭載されるマイクロコントローラです。サーバーのメインOSが停止している状態でも管理を可能にする重要なコンポーネントです。これにより、リモートでサーバーのメンテナンスや診断作業が可能です。管理者は、IPMI（インテリジェントプラットフォーム管理インターフェース）またはRedfishを通じてオペレーティングシステムを再インストールしたり、サーバーを再起動したり、ファームウェアを更新することができます。
Q2. BMCのセキュリティ強化のための勧告事項は何がありますか？
アメリカのCISA、NSAとEclypsiumは、BMCのセキュリティを強化するために次のような措置を勧告しています。
- Redfish、IPMIおよびBMCインターフェースをインターネットに直接公開しない
- BMCへのアクセスは、別の管理ネットワークでのみ可能なように構成する
- ファイアウォール及びACLを適用して管理者アクセスを制限する
- 最新のファームウェアにアップデートし、定期的にチェックする
- BMCのログ監視で予期せぬアカウントの作成や異常な兆候を検出する
結論
BMCは、AMI MegaRACに代表されるリモートサーバー管理ソリューションの中核コンポーネントであり、その脆弱性が悪用されると、データセンター全体の稼働が停止するリスクがあります。管理者は、Criminal IPを活用して継続的な検出および監視を行い、迅速なパッチ適用をはじめとするセキュリティ対策を強化する必要があります。このような脆弱性に対する備えが不十分な場合、データセンターの安全はむろん、企業の重要な資産とサービスまで脅かされる可能性があるためです。
関連してCVE-2025-24813： Apache Tomcat におけるリモートコード実行および情報漏洩の脆弱性をご参照ください。
データ提供：Criminal IP（https://www.criminalip.io/ja）、CSO（https://www.csoonline.com/article/3848376/critical-vulnerability-in-ami-megarac-bmc-allows-servers-takeover.html）、Eclypsium（https://eclypsium.com/blog/ami-megarac-vulnerabilities-bmc-part-3/）
ご参照：