Eclypsium 的研究人員披露了聯想和技嘉服務器所使用的 BMC 固件發(fā)現的漏洞。該漏洞可用于向固件植入惡意程序，使其難以探測或在硬盤格式化后仍然存在。但要利用漏洞，攻擊者需要已經擁有管理員權限。

漏洞存在于 Vertiv 的 MergePoint EMS 基板管理控制器（BMC）固件內，該產品被用于聯想的服務器產品和技嘉的服務器主板。

研究人員在 2018 年 7 月報告給了聯想，11 月聯想釋出了補??；今年 3 月又在技嘉的主板相同固件內發(fā)現了漏洞。

研究人員發(fā)現了兩個問題，其一時固件更新前沒有執(zhí)行加密簽名檢查，因此可被攻擊者安裝惡意固件；其二是 shell 命令注入漏洞。