Supermicro服务器主板或藏不可移除恶意软件

超微 (Supermicro) 服务器主板被发现存在严重安全漏洞，允许攻击者远程植入恶意固件。这种固件在操作系统启动前运行，使得感染极难被检测和清除。这些漏洞源于一个不完整的旧补丁和一个新发现的缺陷，两者都可能导致具有“前所未有的持久性”的攻击。尽管超微声称已发布更新，但安全研究人员表示尚未在其官网上找到修复后的固件。

漏洞的严重性：前所未有的持久性

这些漏洞可被利用来安装类似于 ILObleed 的恶意软件。ILObleed 是一种曾感染惠普企业服务器的固件，它能永久性地销毁硬盘数据，即使用户重装系统或更换硬盘也无法清除。

“这两个问题为大量超微设备（包括人工智能数据中心）提供了前所未有的持久攻击能力。” —— Binarly 公司首席执行官 Alex Matrosov

安全公司 Binarly 在修复了早先的一个漏洞后，对攻击面进行了重新审视，结果发现了“更严重的安全问题”。

问题的根源：基板管理控制器 (BMC)

漏洞存在于主板上的基板管理控制器 (BMC) 芯片中。BMC 是一个功能强大的组件，它允许管理员进行远程管理，即使在服务器关机状态下也能执行敏感操作。

• 远程管理: 管理员可通过 BMC 安装更新、监控硬件温度和调整风扇速度。
• 固件刷新: BMC 能够刷新 UEFI 固件，这是负责在启动时加载操作系统的核心部分。
• 安全机制: BMC 自身带有保护机制，通过验证数字签名来确保固件的合法性。

然而，新发现的漏洞（CVE-2025-7937 和 CVE-2025-6198）恰好可以绕过这些签名验证机制，让攻击者能够用恶意固件替换合法固件。

攻击如何发生

攻击者可以利用这些漏洞实现持久性感染，主要通过以下两种方式：

• 获取 BMC 管理权限: 如果攻击者已经通过其他漏洞获得了 BMC 控制接口的管理权限，那么利用此漏洞植入恶意固件将变得非常简单。
• 供应链攻击: 攻击者可以入侵托管固件更新的服务器，用恶意固件替换原始镜像。用户在下载更新时会误以为是官方版本，而 BMC 端的验证机制也无法阻止恶意更新的安装。

漏洞细节：一个不完整的补丁

其中一个关键漏洞 CVE-2025-7937 源于超微针对早前一个漏洞（CVE-2024-10237）发布的修复补丁不完整。

之前的补丁虽然阻止了特定内存地址的攻击，但 Binarly 的研究人员发现，攻击者仍然可以利用另一个不同的内存地址来绕过防御，从而替换引导加载程序代码，植入自定义的恶意内容。

补丁状态：尚不明确

超微公司表示已更新 BMC 固件以缓解这些漏洞，并建议客户“检查发布说明以获取解决方案”。

然而，截至目前，补丁的实际情况仍然未知。Binarly 的首席执行官 Alex Matrosov 指出：

“我们在他们的网站上找不到已打补丁的固件更新。这个漏洞很难修复，我估计他们需要更多时间。”