Divulgation de la vulnérabilité :
L'objectif de cette divulgation est de communiquer les vulnérabilités potentielles affectant les produits Supermicro qui ont été signalées par un chercheur externe.
Résumé :
Une faille de sécurité a été découverte dans le micrologiciel BMC de certaines cartes mères Supermicro . Ce problème de sécurité, connu sous le nom de "RegreSSHion", affecte la condition de course du gestionnaire de signaux critiques dans OpenSSH. Cette vulnérabilité peut entraîner une exécution de code à distance non authentifiée (RCE) avec les privilèges de l'administrateur.
CVE :
- 6387
- Gravité : élevée
Produits concernés :
Firmware Supermicro BMC dans certaines cartes mères H13, X13, H12, M12 et X12.
Remédiation :
Toutes les cartes mères Supermicro concernées devront faire l'objet d'une mise à jour du micrologiciel BMC afin d'atténuer ces vulnérabilités potentielles.
Un micrologiciel BMC mis à jour a été créé pour atténuer ces vulnérabilités potentielles. Supermicro teste et valide actuellement les produits concernés. Veuillez consulter les notes de version pour la résolution.
Selon la réponse d'OpenSSH(notes de publication), bien que la vulnérabilité ait été testée avec succès dans un environnement expérimental contrôlé, son exploitation a pris environ 6 à 8 heures de tentatives d'attaques continues au débit maximal du serveur. En particulier pour le micrologiciel BMC en général, une telle méthode d'attaque entraînera des anomalies de connexion, ce qui conduira finalement à l'échec de l'attaque.
Supermicro conseille vivement d'utiliser des mesures appropriées pour sécuriser l'accès au réseau des appareils, à titre de précaution générale de sécurité. Supermicro conseille de configurer l'environnement conformément aux directives opérationnelles de sécurité des produits Supermicro pour les systèmes afin de faire fonctionner les dispositifs dans un environnement informatique protégé. Veuillez vous référer à la page web sur la sécurité des produits pour plus d'informations, et suivez également les recommandations dans les manuels des produits.
Exploitation et annonces publiques :
Supermicro n'a pas connaissance d'une utilisation malveillante de ces vulnérabilités dans la nature.