Supermicro: server con vulnerabilità critiche che consentono attacchi malware non rilevabili

Ricercatori della società Binarly hanno individuato due nuove vulnerabilità, classificate come CVE-2025-7937 e CVE-2025-6198, nella logica di validazione del firmware BMC (Baseboard Management Controller) impiegato su schede madri Supermicro. Una delle due aggira una patch che la società aveva già diffuso all'inizio dell'anno per correggere un'altra problematica di sicurezza.

Le falle permettono di caricare immagini firmware appositamente create che, pur mantenendo digest e firma apparenti, consentono la sostituzione o la rilocazione di regioni firmate e l'esecuzione di codice non autorizzato a livello di boot.  BMC è un microcontrollore presente sulle schede madri dei server Supermicro che consente il monitoraggio e la gestione remota del sistema anche quando questo è spento.

"Questo problema di sicurezza potrebbe consentire a potenziali aggressori di ottenere il controllo completo e persistente sia del sistema BMC sia del sistema operativo del server principale", sostengono i ricercatori di Binarly.

Il vettore di attacco descritto sfrutta due meccanismi distinti ma correlati: una manipolazione del meccanismo fwmap - la tabella presente nell'immagine firmware che definisce le regioni firmate - e una logica di validazione difettosa nell'implementazione auth_bmc_sig eseguita nell'ambiente OP-TEE su alcuni firmware (es. MBD-X13SEM-F).

In pratica, un malintenzionato in grado di fornire un'immagine può ridefinire le regioni firmate e spostare dati originali in aree inattive della memoria, facendo sì che l'hash calcolato coincida con il valore firmato e superi la verifica, pur contenendo codice malevolo.

L'impatto pratico è elevato: l'installazione di un firmware malevolo sulla BMC fornisce persistenza sotto il sistema operativo, controllo privilegiato sulla macchina e la possibilità di bypassare meccanismi progettati per verificare l'integrità del boot (Root of Trust). Gli autori hanno dimostrato anche come sia possibile flashare e avviare un kernel personalizzato, evidenziando che l'autenticazione del kernel durante l'avvio può risultare inefficace in scenari specifici.

Supermicro ha confermato i problemi e ha pubblicato aggiornamenti di sicurezza; per alcuni modelli sono già disponibili firmware aggiornati, mentre per altri prodotti bisognerà attendere ancora del tempo.

Binarly ha inoltre reso disponibili proof-of-concept per le due vulnerabilità; la pubblicazione di PoC rende urgente l'applicazione delle patch da parte degli amministratori di datacenter e delle organizzazioni che usano hardware Supermicro.