Divulgación de vulnerabilidades:
Supermicro es consciente del problema de seguridad que puede hacer que la instrucción RDSEED devuelva "0" a un ritmo inconsistente con la aleatoriedad mientras señala incorrectamente el éxito (CF=1), lo que indica una posible clasificación errónea del fallo como éxito. AMD publicó mitigaciones para esta vulnerabilidad. Esta vulnerabilidad afecta a la BIOS de los productos Supermicro H13 y H14.
CVE:
- 62626
- Gravedad: Alta
Hallazgos:
Una gestión inadecuada de la entropía insuficiente en las CPU AMD podría permitir a un atacante local influir en los valores devueltos por la instrucción RDSEED, lo que podría dar lugar al consumo de valores insuficientemente aleatorios.
Productos afectados:
BIOS Supermicro en las placas base H13 y H14 del servidor.
| Generación de placas base AMD | Versión de la BIOS con corrección |
|---|---|
| H13 - H13SSW - EPYC™ series 9004/9005 | v 3.7a |
| H13 - H13DSH - EPYC serie 9004/9005 | v 3.7a |
| H13 - H13DSG-O-CPU - Serie EPYC 9004/9005 | v 3.8a |
| H13 - H13SST-G/GC - EPYC serie 9004/9005 | v 3.5a |
| H13 - H13SSL-N/NC - EPYC serie 9004/9005 | v 3.7a |
| H13 - H13SSH - EPYC serie 9004/9005 | v 3.7b |
| H13 - H13SSF - EPYC serie 9004/9005 | v 3.7a |
| H13 - H13DSG-OM - Serie EPYC 9004/9005 | v 3.7b |
| H14 - H14DSH - EPYC serie 9004/9005 | v 1.7a |
| H14 - H14SST-G - EPYC serie 9004/9005 | v 1.7a |
| H14 - H14SST-GE - EPYC serie 9005 | v 1.0a |
| H14 - H14DSG-OD - EPYC serie 9004/9005 | v 1.7b |
| H14 - H14SHM - Serie EPYC 9005 | v 1.7a |
| H14 - H14DST-F/FL - Serie EPYC 9005 | v 1.7a |
| H14 - H14DSG-O-CPU - Serie EPYC 9004/9005 | v 1.7a |
| H14 - H14SSL-N/NT - Serie EPYC 9005 | v 1.7a |
| H14 - H14DSG-OM - Serie EPYC 9004/9005 | v 1.1c |
Solución:
Consulte el boletín de seguridad de AMD AMD para conocer la solución antes de implementar una nueva BIOS.
Remediación:
- Todas las SKU de placas base Supermicro afectadas requerirán una actualización de la BIOS para mitigar esta posible vulnerabilidad.
- Se ha creado un firmware de BIOS actualizado para mitigar esta vulnerabilidad potencial. Supermicro está actualmente probando y validando los productos afectados. Por favor, consulte las notas de la versión para la resolución.