Neue Sicherheitslücken in Supermicro BMC-Firmware entdeckt

LONDON (IT BOLTWISE) – Zwei neue Sicherheitslücken in der Supermicro BMC-Firmware könnten es Angreifern ermöglichen, die Root-of-Trust-Sicherheitsmechanismen zu umgehen. Diese Schwachstellen, die von Binarly entdeckt wurden, könnten erhebliche Auswirkungen auf die Sicherheit von Unternehmensnetzwerken haben.

In der Welt der Cybersicherheit sind neue Bedrohungen allgegenwärtig, und die jüngste Entdeckung von Sicherheitslücken in der Supermicro Baseboard Management Controller (BMC)-Firmware unterstreicht dies eindrucksvoll. Diese Schwachstellen, die von der Sicherheitsfirma Binarly aufgedeckt wurden, betreffen die Firmware-Verifizierung und könnten es Angreifern ermöglichen, die Root-of-Trust-Sicherheitsmechanismen zu umgehen. Die beiden Sicherheitslücken, die als CVE-2025-7937 und CVE-2025-6198 identifiziert wurden, weisen mittlere Schweregrade auf, könnten jedoch erhebliche Auswirkungen auf die Sicherheit von Unternehmensnetzwerken haben.

Die Schwachstellen resultieren aus einer unzureichenden Überprüfung kryptografischer Signaturen. CVE-2025-7937 ermöglicht es, das Supermicro BMC-Firmware-Verifizierungssystem zu umgehen, indem ein manipuliertes Firmware-Image verwendet wird, das die Programmausführung auf eine gefälschte ‘fwmap’-Tabelle im unsignierten Bereich umleitet. Ähnlich funktioniert CVE-2025-6198, indem es die Verifizierung der Signiertabelle umgeht und die Programmausführung auf eine gefälschte ‘sig_table’ umleitet. Diese Schwachstellen könnten es Angreifern ermöglichen, die Firmware des Systems mit einem speziell gestalteten Image zu aktualisieren.

Die Entdeckung dieser Schwachstellen ist besonders besorgniserregend, da sie aufzeigen, dass frühere Sicherheitsmaßnahmen unzureichend waren. CVE-2025-7937 wird als Umgehung für CVE-2024-10237 angesehen, eine Schwachstelle, die von NVIDIA entdeckt und im Januar 2025 von Supermicro offengelegt wurde. Diese frühere Schwachstelle wies auf einen logischen Fehler im Validierungsprozess der hochgeladenen Firmware hin, der es Angreifern ermöglichen könnte, das BMC SPI-Chip mit einem bösartigen Image neu zu flashen.

Die Implikationen dieser Entdeckungen sind weitreichend. Alex Matrosov, CEO von Binarly, betonte, dass die Wiederverwendung von Signaturschlüsseln in der Branche ein erhebliches Risiko darstellt. Er empfiehlt, die Signaturschlüssel mindestens pro Produktlinie zu rotieren, um die Sicherheit zu gewährleisten. Die Entdeckung dieser Schwachstellen zeigt, dass selbst etablierte Sicherheitsmechanismen wie die Root of Trust nicht unfehlbar sind und kontinuierlich überprüft und verbessert werden müssen, um den sich ständig weiterentwickelnden Bedrohungen standzuhalten.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

36,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!