Divulgation de la vulnérabilité :
L'objectif de cette divulgation est de communiquer les vulnérabilités potentielles affectant les produits Supermicro qui ont été signalées par un chercheur externe.
Remerciements :
Supermicro souhaite remercier les chercheurs de Binarly qui ont découvert des vulnérabilités potentielles dans le micrologiciel IPMI de Supermicro BMC.
Résumé :
Trois problèmes de sécurité ont été découverts dans certaines cartes mères Supermicro . Ces problèmes concernent le composant serveur web de Supermicro BMC (Web UI).
| ID de la question | Sévérité | Type de problème | Description |
|---|---|---|---|
| Haut | Attaque par injection de commande | La commande dorsale utilisée par le BMC pour la notification SMTP accepte des informations d'identification non assainies qui permettent l'injection de commandes dans le système d'exploitation du BMC. Un compte BMC avec des privilèges d'administrateur doit être connecté. Score CVSSv3 de Supermicro : 7.2 (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) |
| Haut | Attaque XSS | Un élément de stockage local lang empoisonné est évalué sans assainissement, ce qui permet la création non autorisée de comptes d'utilisateur au nom du compte d'utilisateur connecté au nom du compte connecté avec des privilèges d'administrateur. Score CVSSv3 de Supermicro : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
| Haut | Attaque par injection de commande | Le BMC de Supermicropermet de télécharger et d'appliquer un fichier de configuration SNMP. Le fichier de configuration peut être utilisé pour charger des modules supplémentaires à partir de bibliothèques dynamiques non autorisées. La configuration malveillante est persistante à travers les redémarrages de la BMC. Un compte BMC avec des privilèges d'administrateur est nécessaire. Score CVSSv3 de Supermicro : 8.3 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H) |
Produits concernés :
Supermicro BMC dans certaines cartes mères X11, X12, X13, H11, H12, H13, M11, M12, B11 et B12 (et CMM).
Remédiation :
Toutes les cartes mères Supermicro concernées devront faire l'objet d'une mise à jour de la BMC afin d'atténuer ces vulnérabilités potentielles.
Des microprogrammes BMC mis à jour ont été créés pour atténuer ces vulnérabilités potentielles. Supermicro teste et valide actuellement les produits concernés. Veuillez consulter les notes de mise à jour pour la résolution.
Exploitation et annonces publiques :
Supermicro n'a pas connaissance d'une utilisation malveillante de ces vulnérabilités dans la nature.