Divulgation de la vulnérabilité :

Supermicro conscient des failles de sécurité présentes dans le contrôleur de gestion satellite (SMC) des accélérateurs AMD MI300X et s'efforce de les corriger. Ces failles pourraient potentiellement entraîner un déni de service et/ou une corruption des données.

CVE :

• 21927
  • Gravité: Moyenne
• 21935
  • Gravité: Moyenne
• 21936
  • Gravité: élevée

Les résultats :

CVE-2024-21927 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges d'utiliser certains caractères spéciaux dans des commandes API Redfish® manipulées, provoquant le plantage et la réinitialisation de processus de service comme OpenBMC, ce qui peut entraîner un déni de service.

CVE-2024-21935 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges de manipuler les commandes API Redfish® pour supprimer des fichiers du répertoire racine local, ce qui peut entraîner une corruption des données.

CVE-2024-21936 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges d'envoyer plusieurs commandes API Redfish® manipulées, provoquant le plantage et la réinitialisation de processus de service comme OpenBMC, ce qui peut entraîner un déni de service.

Produits concernés :

Remédiation :

• Toutes les références Supermicro concernées nécessiteront une mise à jour du micrologiciel du GPU afin d'atténuer cette vulnérabilité potentielle.
• Un micrologiciel GPU mis à jour a été créé afin d'atténuer cette vulnérabilité potentielle. Supermicro et valide actuellement les produits concernés. Veuillez consulter les notes de mise à jour pour connaître la solution.

Ressources :

• Avis de sécurité AMD6016 AMD
  • 21936
  • 21927
  • 21935