Divulgation de la vulnérabilité :

Supermicro est conscient des vulnérabilités de sécurité dans le contrôleur de gestion satellite (SMC) des accélérateurs AMD Instinct™ MI300X et les corrige. Ces vulnérabilités peuvent potentiellement provoquer un déni de service et/ou une corruption de données.

CVE :

• 21927
  • Gravité: Moyenne
• 21935
  • Gravité: Moyenne
• 21936
  • Gravité: élevée

Les résultats :

CVE-2024-21927 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges d'utiliser certains caractères spéciaux dans des commandes API Redfish® manipulées, provoquant le plantage et la réinitialisation de processus de service comme OpenBMC, ce qui peut entraîner un déni de service.

CVE-2024-21935 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges de manipuler les commandes API Redfish® pour supprimer des fichiers du répertoire racine local, ce qui peut entraîner une corruption des données.

CVE-2024-21936 :

Une mauvaise validation des entrées dans le Satellite Management Controller (SMC) peut permettre à un attaquant disposant de privilèges d'envoyer plusieurs commandes API Redfish® manipulées, provoquant le plantage et la réinitialisation de processus de service comme OpenBMC, ce qui peut entraîner un déni de service.

Produits concernés :

Remédiation :

• Toutes les cartes mères Supermicro concernées devront faire l'objet d'une mise à jour du micrologiciel du GPU afin d'atténuer cette vulnérabilité potentielle.
• Une mise à jour du micrologiciel du GPU a été créée pour atténuer cette vulnérabilité potentielle. Supermicro teste et valide actuellement les produits concernés. Veuillez consulter les notes de mise à jour pour la résolution du problème.

Ressources :

• Avis de sécurité AMD6016 AMD
  • 21936
  • 21927
  • 21935