脆弱性開示:
この開示の目的は、外部の研究者によって報告された、Supermicro製品に影響を与える可能性のある脆弱性について伝えることです。
謝辞:
Supermicroは、Supermicro BMC IPMIファームウェアにおける潜在的な脆弱性を発見したNVIDIA Offensive Security Research TeamのAlexander Tereshkin氏の功績に謝意を表します。
概要:
一部のSupermicro製マザーボードにおいてセキュリティ上の問題が発見されました。この問題は、それらのBMCのウェブサーバーコンポーネントに影響します。
| CVE ID | 重大度 | 説明 |
|---|---|---|
| CVE-2024-36435 SMC-2023110008 | 緊急 | Supermicro BMCにおけるこの潜在的な脆弱性は、入力値のチェック不足によって引き起こされるファームウェアの「GetValue」関数におけるバッファオーバーフローに起因する可能性があります。 認証されていないユーザーは、特別に細工されたデータをインタフェースに投稿することができ、これによりスタックバッファオーバーフローがトリガーされ、BMC上で任意のリモートコード実行につながる可能性があります。 |
影響を受ける製品:
一部のX11、X12、H12、B12、X13、H13、B13マザーボード（およびCMM6モジュール）におけるSupermicro BMCファームウェア。
対策:
影響を受けるすべてのSupermicroマザーボードSKUには、これらの潜在的な脆弱性を軽減するためのBMCアップデートが必要です。
これらの潜在的な脆弱性を軽減するために、更新されたBMCファームウェアが作成されました。Supermicroは現在、影響を受ける製品のテストと検証を行っています。解決策についてはリリースノートをご確認ください。
攻撃対象領域を減らすための緊急の回避策として、BMC構成ベストプラクティスガイドに従い、セッションタイムアウトを設定することが推奨されます。
悪用と公開発表:
Supermicroは、現時点ではこれらの脆弱性の悪意のある使用を認識していません。