Divulgation des vulnérabilités :
Le but de cette divulgation est de communiquer les vulnérabilités potentielles affectant Supermicro produits signalés par un chercheur externe.
Reconnaissance:
Supermicro Nous tenons à souligner le travail accompli par les chercheurs de Binarly pour la découverte de vulnérabilités potentielles dans Supermicro Micrologiciel BMC IPMI.
Résumé:
Trois failles de sécurité ont été découvertes dans certaines parties. Supermicro cartes mères. Ces problèmes affectent le composant serveur web de Supermicro BMC (interface utilisateur Web).
| Numéro d'émission | Sévérité | Type de problème | Description |
|---|---|---|---|
| Haut | Attaque par injection de commandes | La commande backend utilisée par le BMC pour les notifications SMTP accepte des identifiants non sécurisés, ce qui permet l'injection de commandes dans le système d'exploitation du BMC. Un compte BMC disposant de privilèges d'administrateur est requis pour se connecter. Supermicro Score CVSSv3 : 7.2 (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) |
| Haut | Attaque XSS | Un élément de stockage local corrompu est évalué sans nettoyage, ce qui permet la création non autorisée de comptes d'utilisateurs au nom du compte connecté disposant de privilèges d'administrateur. Supermicro Score CVSSv3 : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
| Haut | Attaque par injection de commandes | Supermicro Le BMC permet le chargement et l'application d'un fichier de configuration SNMP. Ce fichier pourrait servir à charger des modules supplémentaires provenant de bibliothèques dynamiques non autorisées. La configuration malveillante persiste même après un redémarrage du BMC. Un compte BMC disposant de privilèges d'administrateur est requis. Supermicro Score CVSSv3 : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
Produits concernés :
Supermicro BMC dans la sélection X11 , X12 , X13 , H11 , H12 , H13 , cartes mères M11, M12, B11 et B12 (et CMM).
Remédiation :
Tous les concernés Supermicro Les références des cartes mères nécessiteront une mise à jour du BMC pour atténuer ces vulnérabilités potentielles.
Des mises à jour du firmware BMC ont été créées pour atténuer ces vulnérabilités potentielles. Supermicro Nous procédons actuellement à des tests et à la validation des produits concernés. Veuillez consulter les notes de version pour connaître la solution.
Exploitation et annonces publiques :
Supermicro n'a connaissance d'aucune utilisation malveillante de ces vulnérabilités en conditions réelles.