Les chercheurs découvrent des problèmes avec les contrôles de validation du micrologiciel et la racine de la confiance.
Les chercheurs ont publié les détails de deux nouveaux défauts dans le micrologiciel de gestion de la bande de base (BMC) Supermicro Baseband qui fait allusion à des faiblesses plus profondes dans la façon dont la société sécurise actuellement ce type de logiciel de bas niveau.
Supermicro est l’un des principaux fabricants des cartes mères du serveur largement utilisées dans les centres de données. Le BMC est une puce de carte mère critique utilisée pour surveiller la santé des systèmes indépendamment de l’OS sur ces systèmes, y compris lorsqu’ils sont alimentés.
Quiconque est capable de détourner ce firmware gagnerait le pouvoir de contrôler le serveur et de gagner de la persistance à un niveau en dessous du logiciel de sécurité normal et du système d’exploitation.
Selon la société de sécurité du micrologiciel Binarly, la première vulnérabilité, CVE-2025-7937, est une faiblesse affectant la logique de validation du micrologiciel utilisée pour sécuriser le micrologiciel BMC de Supermicro qui a reçu un score CVSS de haute sévérité de 7.2. Les attaquants qui l’exploitent pourraient mettre à jour le système avec un firmware voyou.
De manière significative, Binarly a découvert le problème lors du test du correctif de Supermicro pour une vulnérabilité similaire, CVE-2024-10237, corrigé par la société en janvier. Découvert par l’équipe de recherche sur la sécurité offensive de NVIDIA, qui a également permis aux attaquants d’installer une image de firmware malveillant.
Dans les deux cas, «ce problème de sécurité pourrait permettre aux attaquants potentiels de gagner un contrôle complet et persistant du système BMC et du système d’exploitation du serveur principal», a déclaré Binarly.
Au cours de cette recherche, Binarly a découvert une deuxième vulnérabilité, CVE-2025-6198, concernant le micrologiciel de la carte mère X13SEM-F de Supermicro, également évalué en haute gravité avec un score CVSS de 7,2.
Alors que CVE-2025-7937 ou CVE-2025-6198 présenteraient des risques de sécurité majeurs dans les événements que les attaquants ont pu les exploiter, la mise en garde est que pour le faire, les attaquants auraient besoin d’avoir établi un accès administratif aux systèmes pour interagir avec le firmware.
Cela pourrait faire en sorte que l’exploitation sonne à long terme – ni l’un ni l’autre ne peut être exploité à distance – mais comme le montrent d’innombrables attaques réelles, l’accès aux administrateurs voyous et l’élévation de privilège peuvent être obtenus dans une attaque indirecte séparée.
Correction incomplète
CVE-2025-7937 et CVE-2025-6198 ont découvert différents problèmes avec la logique de validation de Supermicro, le processus de vérification qui est censé empêcher le micrologiciel légitime d’être remplacé par du code malveillant.
Binarly a déclaré que la faille de janvier, CVE-2024-10237, a permis de tromper le processus de validation en ajoutant des entrées illicites à la table de carte du firmware (FWMAP) afin que le firmware voyou correspondait à la valeur signée cryptographiquement.
Supermicro a ajusté les vérifications de validation pour détecter cela, mais via CVE-2025-7937, les chercheurs binarly ont pu relancer la vérification de la validation modifiée.
Encouragé, Binarly a ensuite décidé de regarder de plus près la façon dont le processus de validation Supermicro met en œuvre Root of Trust (Rot), en utilisant la carte mère X13SEM-F comme lit d’essai. Il s’avère que cette fonction repose sur un SIG_TABLE qui fait partie du nouveau fichier de firmware. Cela répertorie le manifeste des régions du firmware utilisées pour calculer le hachage cryptographique.
Cela conduit au CVE-2025-6198: «Il est possible de le modifier (le SIG_TABLE), ainsi que d’autres parties de l’image – par exemple, le noyau – et déplacer les données d’origine vers l’espace inutilisé dans le firmware.
Atténuation
Les conseils de Binarly sont d’adopter une vérification minutieuse de la source et des vérifications d’intégrité des images du micrologiciel, des correctifs dès que les nouveaux problèmes apparaissent et de permettre la sécurité ROT où le matériel le prend en charge.
Au-delà de cela, il s’agit d’une question de surveillance continue et d’audits de sécurité. Le problème, comme toujours, est que de nombreuses organisations pourraient être tentées de sauter cela lorsqu’elles ont tant d’autres problèmes de sécurité.
En bref, il n’y a pas de moyen simple d’arrêter la manipulation du micrologiciel; L’important qualificatif est que les attaques documentées ont réussi à détourner le firmware à ce niveau sont rares.
Une exception à cela a été le CVE-2024-54085 à partir de juin, une vulnérabilité d’usurpation d’authentification dans le micrologiciel de gestion du serveur Ami Megarac SPX que CISA a averti sous exploitation active.
Cependant, les vulnérabilités inexploitées abondent. Par exemple, en avril, AMI a corrigé une vulnérabilité affectant le firmware MEGARAC BMC utilisé dans de nombreux serveurs et systèmes de stockage d’entreprise, et en 2022, le fournisseur de sécurité Eclypsium a constaté que les BMC de milliers de serveurs HPE ILO (HPE intégrés) exécutaient des serveurs vulnérables.
