Divulgation de la vulnérabilité :
L'objectif de cette divulgation est de communiquer les vulnérabilités potentielles affectant Supermicro qui ont été signalées par un chercheur externe.
Remerciements :
Supermicro à saluer le travail accompli par les chercheurs de Binarly qui ont découvert des vulnérabilités potentielles dans le micrologiciel Supermicro IPMI Supermicro .
Résumé :
Trois problèmes de sécurité ont été découverts dans certaines Supermicro . Ces problèmes affectent le composant serveur web de Supermicro (interface utilisateur web).
| ID de la question | Sévérité | Type de problème | Description |
|---|---|---|---|
| Haut | Attaque par injection de commande | La commande dorsale utilisée par le BMC pour la notification SMTP accepte des informations d'identification non assainies qui permettent l'injection de commandes dans le système d'exploitation du BMC. Un compte BMC avec des privilèges d'administrateur doit être connecté. Score Supermicro : 7.2 (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) |
| Haut | Attaque XSS | Un élément de stockage local lang empoisonné est évalué sans assainissement, ce qui permet la création non autorisée de comptes d'utilisateur au nom du compte d'utilisateur connecté au nom du compte connecté avec des privilèges d'administrateur. Score Supermicro : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
| Haut | Attaque par injection de commande | Le BMC Supermicropermet de télécharger et d'appliquer un fichier de configuration SNMP. Le fichier de configuration peut être utilisé pour charger des modules supplémentaires à partir de bibliothèques dynamiques non autorisées. La configuration malveillante persiste après le redémarrage du BMC. Un compte BMC avec des privilèges d'administrateur est requis. Score Supermicro : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
Produits concernés :
Supermicro dans certaines cartes mères X11, X12, X13, H11, H12, H13, M11, M12, B11 et B12 (et CMM).
Remédiation :
Toutes les références Supermicro concernées nécessiteront une mise à jour BMC afin d'atténuer ces vulnérabilités potentielles.
Une mise à jour du micrologiciel BMC a été créée afin d'atténuer ces vulnérabilités potentielles. Supermicro et valide actuellement les produits concernés. Veuillez consulter les notes de mise à jour pour connaître la solution.
Exploitation et annonces publiques :
Supermicro connaissance d'aucune utilisation malveillante de ces vulnérabilités dans la nature.