Offenlegung von Schwachstellen:
Der Zweck dieser Offenlegung ist es, die potenziellen Schwachstellen, die Supermicro-Produkte betreffen und von einem externen Forscher gemeldet wurden, mitzuteilen.
Danksagung:
Supermicro möchte die Arbeit anerkennen, die von Alexander Tereshkin, NVIDIA Offensive Security Research Team, geleistet wurde, indem er eine potenzielle Schwachstelle in der Supermicro BMC IPMI-Firmware entdeckte.
Zusammenfassung:
Ein Sicherheitsproblem wurde in ausgewählten Supermicro-Mainboards entdeckt. Dieses Problem betrifft die Webserver-Komponente ihrer BMC.
| CVE-ID | Schweregrad | Beschreibung |
|---|---|---|
| 36435 SMC-2023110008 | Kritisch | Diese potenzielle Schwachstelle im Supermicro BMC kann von einem Pufferüberlauf in der „GetValue“-Funktion der Firmware herrühren, der durch eine fehlende Überprüfung des Eingabewertes verursacht wird. Ein nicht authentifizierter Benutzer kann speziell gestaltete Daten an die Schnittstelle senden, was einen Stapelpufferüberlauf auslöst und zur Ausführung von beliebigem entfernten Code auf einem BMC führen kann. |
Betroffene Produkte:
Supermicro BMC-Firmware in ausgewählten X11-, X12-, H12-, B12-, X13-, H13- und B13-Hauptplatinen (und CMM6-Modulen).
Abhilfe:
Alle betroffenen Supermicro Mainboard-SKUs erfordern ein BMC-Update, um diese potenziellen Schwachstellen zu mindern.
Es wurde eine aktualisierte BMC-Firmware erstellt, um diese potenziellen Schwachstellen zu mindern. Supermicro testet und validiert derzeit die betroffenen Produkte. Bitte prüfen Sie die Release Notes für die Lösung.
Als sofortige Abhilfe, um die Angriffsfläche zu reduzieren, wird empfohlen, den BMC-Konfigurationsleitfaden für bewährte Praktiken zu folgen und eine Sitzungszeitüberschreitung zu konfigurieren.
Ausbeutung und öffentliche Bekanntmachungen:
Supermicro sind keine bösartigen Nutzungen dieser Schwachstellen in freier Wildbahn bekannt.