漏洞披露：
本次披露的目的是为了说明可能影响系统的潜在漏洞Supermicro 由外部研究人员报告的产品。
致谢：
Supermicro 谨此感谢 Binarly 研究人员在发现潜在漏洞方面所做的工作。 Supermicro BMC IPMI固件。
摘要
在选定的系统中发现了三个安全问题。 Supermicro 主板。这些问题会影响网络服务器组件。 Supermicro BMC（Web UI）。
| 问题编号 | 严重性 | 问题类型 | 说明 |
|---|---|---|---|
| 高 | 命令注入攻击 | BMC 用于 SMTP 通知的后端命令将接受允许注入 BMC 操作系统命令的未净化凭据。必须使用具有管理员权限的 BMC 帐户才能登录。 Supermicro CVSSv3评分： 7.2 (av:n/ac:l/pr:h/ui:n/s:u/c:h/i:h/a:h) |
| 高 | XSS 攻击 | 未对本地存储项目进行清除评估即对其进行中毒处理，从而允许在未经授权的情况下，代表具有管理员权限的登录用户账户创建用户账户。 Supermicro CVSSv3评分： 8.3 (av:n/ac:h/pr:n/ui:r/s:c/c:h/i:h/a:h) |
| 高 | 命令注入攻击 | Supermicro BMC 允许上传并应用 SNMP 配置文件。该配置文件可能被用于从未经授权的动态库加载其他模块。恶意配置在 BMC 重启后仍然有效。需要具有管理员权限的 BMC 帐户。 Supermicro CVSSv3评分： 8.3 (av:n/ac:h/pr:n/ui:r/s:c/c:h/i:h/a:h) |
受影响的产品：
Supermicro 选定的 BMC X11 ， X12 ， X13 ， H11 ， H12 ， H13 M11、M12、B11 和 B12 主板（以及 CMM）。
补救措施：
所有受影响的人Supermicro 主板 SKU 需要进行 BMC 更新以缓解这些潜在漏洞。
已开发出更新的BMC固件，以缓解这些潜在漏洞。 Supermicro 目前正在对受影响的产品进行测试和验证。请查看版本说明以了解解决方案。
开发和公告：
Supermicro 目前尚未发现任何恶意利用这些漏洞的案例。