Divulgation de la vulnérabilité :
L'objectif de cette divulgation est de communiquer les vulnérabilités potentielles affectant Supermicro qui ont été signalées par un chercheur externe.
Résumé :
Une faille de sécurité a été découverte dans le micrologiciel BMC de certaines Supermicro . Ce problème de sécurité, connu sous le nom de « RegreSSHion », affecte la condition de concurrence critique du gestionnaire de signaux dans OpenSSH. Cette vulnérabilité peut entraîner l'exécution de code à distance (RCE) non authentifiée avec des privilèges root.
CVE :
- 6387
- Gravité : élevée
Produits concernés :
Micrologiciel Supermicro dans certaines cartes mères H13, X13, H12, M12 et X12.
Remédiation :
Toutes les références Supermicro concernées nécessiteront une mise à jour du micrologiciel BMC afin d'atténuer ces vulnérabilités potentielles.
Une mise à jour du micrologiciel BMC a été créée afin d'atténuer ces vulnérabilités potentielles. Supermicro et valide actuellement les produits concernés. Veuillez consulter les notes de mise à jour pour connaître la solution.
Selon la réponse d'OpenSSH(notes de publication), bien que la vulnérabilité ait été testée avec succès dans un environnement expérimental contrôlé, son exploitation a pris environ 6 à 8 heures de tentatives d'attaques continues au débit maximal du serveur. En particulier pour le micrologiciel BMC en général, une telle méthode d'attaque entraînera des anomalies de connexion, ce qui conduira finalement à l'échec de l'attaque.
Supermicro recommande Supermicro de prendre les mesures appropriées pour sécuriser l'accès réseau aux appareils à titre de précaution générale en matière de sécurité. Supermicro configurer l'environnement conformément aux directives opérationnelles de sécurité Supermicro pour les systèmes afin d'utiliser les appareils dans un environnement informatique protégé. Veuillez consulter la page Web consacrée à la sécurité des produits pour plus d'informations et suivre les recommandations figurant dans les manuels des produits.
Exploitation et annonces publiques :
Supermicro connaissance d'aucune utilisation malveillante de ces vulnérabilités dans la nature.