Supermicro IPMI ファームウェアの脆弱性、2023年12月

脆弱性の開示

本開示の目的は、外部の研究者から報告された、Supermicro を及ぼす可能性のある脆弱性についてお知らせすることです。

謝辞

Supermicro 、Supermicro IPMIファームウェアにおける潜在的な脆弱性を発見した、フィンランドのJAMK応用科学大学の研究者の方々の功績に感謝Supermicro 。

概要

Supermicro 、いくつかのセキュリティ上の問題が発見されました。これらの問題は、BMC IPMIのWebサーバーコンポーネントに影響を及ぼす可能性があります。

CVE番号説明重大性
IPMI BMC SSDP/UPnP Webサーバーのディレクトリ・トラバーサルとiKVMアクセスにより、ホストの再起動が可能高い
IPMI BMC管理用Webインタフェース ッピー/USBによるリモートコマンドの実行高い
IPMI BMC デバイスはハードコードされた設定ファイル暗号化キーを使用しているため、攻撃者は悪意のある設定ファイルパッケージを作成してアップロードし、リモートでコマンドを実行することができます。高い

影響を受ける製品

X11、M11、X12、H12、B12、X13、H13、B13、およびC9X299マザーボードにSupermicro 。

修復：

影響Supermicro SKUについては、これらの潜在的な脆弱性を軽減するためにBMCの更新が必要となります。

これらの潜在的な脆弱性を軽減するために、更新されたBMCファームウェアが作成されました。BMC ファームウェアのアップデートおよびリリースノートで解決策を確認し、詳細についてはテクニカルサポートにお問い合わせください。

攻撃対象領域を減らすための当面の回避策として、以下の手順に従ってください。 BMC 構成ベストプラクティスガイドに従って、セッション タイムアウトを構成することをお勧めします。

搾取と公表：

Supermicro 、本アドバイザリに記載されているこれらの脆弱性に関する公表や悪用事例について、現時点で把握Supermicro 。

関連資料