PT-2024-6560 · Supermicro · Supermicro Bmc Firmware

Alexander Tereshkin · Publicado 2024-05-27 · Atualizado 2024-10-04 · CVE-2024-36435

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Firmware BMC da Supermicro em determinadas placas-mãe X11, X12, H12, B12, X13, H13 e B13 (e módulos CMM6) (versões afetadas não especificadas)

Descrição:

Foi descoberta uma falha no firmware BMC da Supermicro que permite que um usuário não autenticado envie dados manipulados para a interface, provocando um estouro de buffer de pilha e potencialmente levando à execução remota de código arbitrário em um BMC. A vulnerabilidade está relacionada à função GetValue na interface web dos servidores IPMI da BMC. A exploração da vulnerabilidade pode permitir que um invasor execute código arbitrário usando um arquivo especialmente manipulado.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Stack Overflow

Enumeração de Fraquezas

CWE-121

Identificadores relacionados

BDU:2024-07704

CVE-2024-36435

Produtos afetados

Supermicro Bmc Firmware

Referências · 29

• https://twitter.com/fridaysecurity/status/1840942241122062687 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1811500153238335950 · Publicação no Twitter
• https://t.me/proxy_bar/2284 · Publicação no Telegram
• https://twitter.com/a_ferron/status/1839408066271514643 · Publicação no Twitter
• https://t.me/cvenotify/85958 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-36435 · Nota de Segurança
• https://t.me/securixy_kz/1012 · Publicação no Telegram
• https://t.me/p0x3k/1953 · Publicação no Telegram
• https://twitter.com/ohhara_shiojiri/status/1840977994019643676 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-07704 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1811506564576038934 · Publicação no Twitter
• https://twitter.com/matrosov/status/1842283189315731650 · Publicação no Twitter
• https://twitter.com/Komodosec/status/1825911562496077967 · Publicação no Twitter
• https://t.me/pentestingnews/51898 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2024-36435 · Nota de Segurança