Supermicro マザーボードの脆弱性 CVE-2024-36435 が FIX：RCE の恐れ

Supermicro Motherboards Vulnerable to Critical RCE Flaw (CVE-2024-36435)

2024/07/14 SecurityOnline — Supermicro Computer が公表したのは、同社の製品群を RCE 攻撃にさらす可能性がある、深刻な脆弱性 CVE-2024-36435 に関するアドバイザリである。この脆弱性は、特定の Supermicro マザーボード BMC (Baseboard Management Controller) Web サーバー・コンポーネント内に存在するものであり、NVIDIA の攻撃的セキュリティ研究チームのAlexander Tereshkin により発見されている。

この脆弱性の根本的な原因は、BMC ファームウェアの “GetValue” 関数内のバッファ・オーバーフローに起因する。この脆弱性は、不適切な入力検証により引き起こされ、特別に細工されたデータの、BMC インターフェースへ向けた送信を可能にしてしまうものだ。その結果として、未認証の攻撃者による、BMC の権限での任意のコード実行にいたる恐れが生じる。この脆弱性の深刻度は、Critical (CVSS：9.8) に分類されており、注意が必要となっている。

Supermicro はユーザーに対して推奨するのは、BMC ファームウェアを最新バージョンに更新し、悪用のリスクを軽減することである。影響を受けるマザーボードである X11／X12／H12／B12／X13／H13／B13 製品ライン (CMM6モジュールを含む) において、同社はアップデートされたファームウェアを積極的にテスト／検証している。

なお、適用されたパッチとファームウェア・バージョンの整合性を取るために、個々のマザーボード・モデルのリリース・ノートを確認する必要がある。

ファームウェアのアップデートを待つ間において、Supermicro が推奨しているのは、BMC Configuration Best Practices Guide に従ってセッション・タイムアウトを設定し、攻撃対象領域を減らすことである。それにより、不正アクセスや悪用のリスクを軽減できるという。

現時点において Supermicro は、この脆弱性 CVE-2024-36435 の悪用報告は受け取っていないが、攻撃が実行される可能性は依然として高いとされる。Supermicro サーバ／マザーボードの管理者に求められるのは、この問題を深刻なものとして扱い、推奨される緩和策を遅滞なく実施することである。

Supermicro のマザーボードというと、影響を受けるのはデータセンター事業者かと思われますが、OEM もあるはずなので、一般的なサーバ・マシンが対象となる可能性もあります。サーバ管理者の方々、ご注意ください。よろしければ、Intel で検索も、ご利用ください。