長期使用 PC 的使用者應該遇到過系統啟動時出現 American Megatrends International 的相關資訊，AMI 是 BIOS 和 UEFI 系列軟體的領先供應商，不少 PC 和伺服器採用 AMI 提供的控制器軟體。
日前 AMI 釋出公告透露其 MegaRAC 基板控制器軟體中存在的高危安全漏洞，這枚安全漏洞編號 CVE-2024-54085，CVSS 評分為滿分也就是 10/10 分，凸顯這枚漏洞造成的潛在危害。
根據說明 CVE-2024-54085 可以被遠端利用，進而導致感染惡意軟體、篡改韌體以及透過提高電壓造成過壓對主機板造成不可逆的物理損壞，目前使用 AMI 軟體的主機板製造商正在陸續釋出更新用來修復漏洞。
AMI 示例圖
下面是關於此漏洞的具體說明：
本地或遠端攻擊者可以透過訪問遠端管理介面 Redfish 或內部主機的 BMC 介面來利用此漏洞。成功利用漏洞，駭客可以遠端控制受感染的伺服器，遠端部署惡意軟體、勒索軟體、篡改韌體、破壞主機板元件 (BMC 或潛在的 BIOS/UEFI)、造成潛在的物理伺服器損壞以及裝置迴圈重啟。
華碩日前釋出更新對四款受影響的主機板進行修復：
PRO WS W790E-SAGE SE – v1.1.57：https://www.asus.com/motherboards-components/motherboards/workstation/pro-ws-w790e-sage-se/helpdesk_bios?model2Name=Pro-WS-W790E-SAGE-SE
PRO WS W680M-ACE SE – v1.1.21：https://www.asus.com/motherboards-components/motherboards/workstation/pro-ws-w680m-ace-se/helpdesk_bios?model2Name=Pro-WS-W680M-ACE-SE
PRO WS WRX90E-SAGE SE – v2.1.28：https://www.asus.com/motherboards-components/motherboards/workstation/pro-ws-wrx90e-sage-se/helpdesk_bios?model2Name=Pro-WS-WRX90E-SAGE-SE
Pro WS WRX80E-SAGE SE WIFI – v1.34.0：https://www.asus.com/motherboards-components/motherboards/workstation/pro-ws-wrx80e-sage-se-wifi/helpdesk_bios?model2Name=Pro-WS-WRX80E-SAGE-SE-WIFI
如果你使用的 PC 或伺服器採用華碩以上型別的主機板則應該立即下載韌體更新手動進行升級，升級方法如下：下載 BMC 的 ima 格式韌體後訪問 Web 介面、維護、韌體更新、選擇 ima 檔案點選開始韌體更新，AMI 建議使用者勾選完全重新整理選項徹底升級韌體。
為什麼以上 BMC 韌體釋出日期是 3 月份？這些韌體是否是最新版：
以上韌體均為最新版，基於安全考慮通常 OEM 會先發布韌體，延遲一段時間後再透露漏洞，避免大多數使用者未升級的情況下，駭客利用韌體逆向工程找出漏洞然後發起針對性攻擊。
注意：以上四款主機板均屬於華碩工作站裝置採用的高效能主機板，目前尚不清楚華碩或其他主機板製造商是否有采用搭載 AMI 軟體的普通消費級主機板，建議使用者關注主機板製造商網站看看是否有更新資訊。