漏洞披露：
本次揭露的目的是為了說明可能影響系統的潛在漏洞Supermicro 由外部研究人員報告的產品。
致謝：
Supermicro 謹此感謝 Binarly 研究人員在發現潛在漏洞方面所做的工作。 Supermicro BMC IPMI韌體。
概括：
在選定的系統中發現了三個安全問題。 Supermicro 主機板。這些問題會影響網頁伺服器元件。 Supermicro BMC（Web UI）。
| 問題 ID | 嚴重程度 | 問題類型 | 描述 |
|---|---|---|---|
| 高的 | 命令注入攻擊 | BMC 用於 SMTP 通知的後端指令會接受未經處理的憑證，讓 BMC 作業系統指令注入。需要使用具有管理員權限的 BMC 帳號登入。 Supermicro CVSSv3評分： 7.2 (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) |
| 高的 | XSS攻擊 | 被污染的本機儲存項目未經清理就被評估，這允許以已登入使用者帳戶的名義建立未經授權的使用者帳戶，或以具有管理員權限的已登入帳戶的名義建立使用者帳戶。 Supermicro CVSSv3評分： 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
| 高的 | 命令注入攻擊 | Supermicro BMC 允許上傳並套用 SNMP 設定檔。該設定檔可能被用於從未經授權的動態庫載入其他模組。惡意配置在 BMC 重新啟動後仍然有效。需要具有管理員權限的 BMC 帳號。 Supermicro CVSSv3評分： 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
受影響產品：
Supermicro 選定的 BMC X11 ， X12 ， X13 ， H11 ， H12 ， H13 M11、M12、B11 和 B12 主機板（以及 CMM）。
補救措施：
所有受影響的人Supermicro 主機板 SKU 需要進行 BMC 更新以緩解這些潛在漏洞。
已開發出更新的BMC固件，以緩解這些潛在漏洞。 Supermicro 目前正在對受影響的產品進行測試和驗證。請查看版本說明以了解解決方案。
剝削和公開聲明：
Supermicro 目前尚未發現這些漏洞被惡意利用的情況。