漏洞披露：

本公告旨在通報由外部研究人員所揭露、可能影響Supermicro 安全漏洞。

摘要：

在部分Supermicro BMC 韌體中，發現一項安全漏洞。此安全問題被稱為「RegreSSHion」，影響 OpenSSH 中的關鍵訊號處理程序競態條件。此漏洞可能導致未經認證的遠端程式碼執行（RCE），並具備 root 特權。

CVE：

• CVE-2024-6387
  • 嚴重性：高

受影響產品：

Supermicro 韌體適用於特定型號的 H13、X13、H12、M12 及 X12 主機板。

修復：

所有受影響的Supermicro 型號皆需更新 BMC 韌體，以減輕這些潛在漏洞的風險。

已發布新版 BMC 韌體以緩解這些潛在漏洞。Supermicro 目前Supermicro 受影響產品Supermicro 測試與驗證。請參閱發行說明以獲取解決方案。

根據 OpenSSH 的回應（發行說明），雖然該漏洞已在受控實驗環境中成功驗證，但需在伺服器最大吞吐量下持續攻擊約 6 至 8 小時方能成功利用。特別是針對 BMC 韌體而言，此類攻擊手法將導致連線異常，最終使攻擊行動失敗。

Supermicro 建議採取適當措施保護設備的網路存取權限，作為一般性安全預防措施。Supermicro 依據系統Supermicro 操作指南配置環境，使設備能在受保護的IT環境中運行。更多資訊請參閱產品安全網頁，並遵循產品手冊中的建議。

剝削與公告：

Supermicro 尚未發現任何這些漏洞在實際環境中遭惡意利用的Supermicro 。

資源：

• CVE-2024-6387