تحتوي الخوادم التي تعمل على اللوحات الأم التي تباع من قبل Supermicro على نقاط الضعف عالية الجودة يمكن أن تسمح للمتسللين بتثبيت البرامج الثابتة الضارة عن بُعد حتى قبل نظام التشغيل ، مما يجعل العدوى مستحيلاً اكتشافها أو إزالتها دون حماية غير عادية في مكانها.
وقال أليكس ماتروسوف ، مؤسس ومدير التنفيذي لشركة الأمن التي اكتشفتها ، إن أحد نقاط الضعف هو نتيجة لخطوقة التصحيح غير المكتملة التي تم إصدارها في يناير. وقال إن الإصلاح غير الكافي كان يهدف إلى تصحيح CVE-2024-10237 ، وهو ثغرة شاملة عالية الجودة مكنت المهاجمين من تعبير البرامج الثابتة التي تعمل أثناء تشغيل الجهاز. اكتشف Binarly ضعفًا حرجة ثانية تسمح بنفس النوع من الهجوم.
“ثبات غير مسبوق”
يمكن استغلال مثل هذه الثغرات الأمنية لتثبيت البرامج الثابتة على غرار ILOBLEED ، وهي عملية زرع تم اكتشافها في عام 2021 تعاني من إصابة خوادم HP Enterprise مع البرامج الثابتة الممسحة التي دمرت البيانات المخزنة بشكل دائم على محركات الأقراص الصلبة. حتى بعد إعادة تثبيت المسؤولين على نظام التشغيل ، أو تبادلوا محركات الأقراص الصلبة ، أو اتخذوا خطوات التطهير الشائعة الأخرى ، فإن ILOBLEED ستبقى سليمة وإعادة تنشيط هجوم قرص قرص. تم استغلال المهاجمين المستخدمين في تلك الحملة بواسطة HP قبل أربع سنوات ولكن لم يتم تثبيته في الأجهزة التي تم اختراقها.
“توفر كلتا القضيتين قوة ثبات غير مسبوقة عبر أساطيل أجهزة Supermicro المهمة بما في ذلك [in] كتب ماتروسوف إلى ARS في مقابلة عبر الإنترنت ، في إشارة إلى آخر اثنين من نقاط الضعف التي اكتشفها بينينليين ، بعد تصحيحها ، بعد تصحيحها ، بعد تصحيحها ، بعد تصحيحها ، في إشارة إلى آخر اثنين من نقاط الضعف التي اكتشفها ثنائية الأثريلي: “بعد أن تم تصحيح مراكز بيانات بيانات منظمة العفو الدولية ،” مراكز بيانات منظمة العفو الدولية ، “مراكز بيانات منظمة العفو الدولية ،” مراكز بيانات منظمة العفو الدولية ، “مراكز بيانات الذكاء الاصطناعي” ، إلى ARS في مقابلة عبر الإنترنت ، في إشارة إلى أحدث نقاط الضعف التي اكتشفها بينارلي. “بعد تصحيحها [the earlier vulnerability]، نظرنا إلى بقية سطح الهجوم ووجدنا مشاكل أمنية أسوأ. “
إن الثغرات الضعيفة الجديدة-التي تم تجنيدها كـ CVE-2025-7937 و CVE-2025-6198-الجانب داخل اللوحات السيليكون المليئة بالوحدات الأم التي تدير خوادم داخل مراكز البيانات. تتيح وحدات التحكم في إدارة اللوح (BMCs) للمسؤولين أداء مهامًا عن بُعد مثل تثبيت التحديثات ومراقبة درجات حرارة الأجهزة وتعيين سرعات المروحة وفقًا لذلك. تتيح BMCS أيضًا بعض العمليات الأكثر حساسية ، مثل إعادة توحيد البرامج الثابتة لـ UEFI (واجهة البرامج الثابتة الموسعة الموحدة) المسؤولة عن تحميل نظام التشغيل الخادم عند التمهيد. توفر BMCs هذه القدرات وأكثر من ذلك ، حتى عندما يتم إيقاف تشغيل الخوادم المتصلة.
