24.650 BMC expuestos a Internet divulgan hashes de contraseñas de IPMI antes de iniciar sesión – CYBERDEFENSA.MX
Los investigadores de ciberseguridad han hecho sonar una alerta después de encontrar más de 36.000 interfaces de gestión de controladores de gestión de placa base (BMC) que exponen el protocolo de interfaz de gestión de plataforma inteligente (IPMI) a la Internet pública.
De las 36.872 interfaces de administración de servidores expuestas a Internet que ejecutan IPMI, se ha descubierto que 24.650 revelan hashes de autenticación derivados de contraseñas antes de iniciar sesión debido a una vulnerabilidad en la propia especificación IPMI v2.0, según un nuevo informe Lava compartió con The Hacker News. IPMI v2.0 fue introducido en febrero de 2024.
La cuestión en cuestión es CVE-2013-4786 (Puntuación CVSS: 7,5), una falla de divulgación de información de alta gravedad que permite a atacantes remotos obtener hashes de contraseñas para cuentas válidas y realizar ataques de adivinación de contraseñas fuera de línea obteniendo el HMAC de una respuesta de mensaje del Protocolo de intercambio de claves autenticado (RAKP) RMCP+ de un BMC.
por un consultivo publicado por Dell, «este es un problema inherente a la especificación IPMI v2.0», y el fabricante de PC señaló que no hay ningún parche.
«Más del 30% de los hashes devueltos estaban asociados con contraseñas que podían recuperarse utilizando listas de palabras comunes y formatos predecibles de pegatinas de chasis de fábrica», dijo el investigador de seguridad Michael Katchinskiy. «La exposición también afectó a los servidores modernos Supermicro y HPE operados por proveedores de GPU, incluidos los sistemas que todavía usaban contraseñas emitidas de fábrica».
Los BMC son procesadores de administración especializados integrados en la placa base de un servidor que controlan la energía, el firmware, el acceso remoto a la consola, la instalación del sistema operativo y la recuperación del sistema. También actúan como un componente crucial para la automatización y el tiempo de actividad del centro de datos remoto para monitorear la telemetría del hardware y facilitar la implementación masiva de actualizaciones de firmware y configuraciones de BIOS.
Para conectar comandos remotos al hardware, el BMC normalmente se comunica mediante protocolos como IPMI y Redfish. Como lo destaca la empresa de seguridad de firmware Eclypsium en A finales de 2022 y principios de 2023, la posición privilegiada de la que disfrutan las BMC también puede convertirlas en objetivos de ataque ideales para los delincuentes que buscan obtener control remoto e implementar malware persistente.
Debido a que los BMC se ejecutan de forma completamente independiente del sistema operativo host, un mecanismo conocido como administración fuera de banda (OOB), un atacante que logra comprometer con éxito un BMC expuesto puede eludir los controles de seguridad tradicionales, sobrevivir a las reinstalaciones del sistema operativo y mantener el acceso.
«En los centros de datos de IA modernos, donde el mismo entorno básico a menudo alberga a múltiples inquilinos, un solo BMC expuesto puede potencialmente poner en riesgo las cargas de trabajo de varias organizaciones a través de una infraestructura compartida o movimiento lateral, lo que lo convierte en un importante punto ciego en la infraestructura que sustenta el auge de los centros de datos de IA», dijo la compañía israelí.
En el centro de la investigación se encuentra CVE-2013-4786, una debilidad de 20 años en IPMI 2.0, que un atacante puede aprovechar para recuperar contraseñas débiles, reutilizadas, configuradas de fábrica o formateadas de manera predecible.
«Durante el proceso de autenticación, el BMC puede devolver un mensaje de respuesta que contiene un código de autenticación HMAC-SHA1 calculado utilizando la contraseña de la cuenta y los valores de sesión conocidos por el solicitante», explicó Katchinskiy. «Una parte remota no autenticada que pueda alcanzar el puerto UDP 623 puede solicitar esta respuesta y probar las adivinanzas de contraseña fuera de línea. A diferencia de los repetidos intentos de inicio de sesión en línea, el proceso fuera de línea no requiere una nueva solicitud al BMC para cada candidato de contraseña».
Al 6 de mayo de 2026, una búsqueda en Internet pública de servicios IPMI expuestos en el puerto UDP 623 descubrió 36.872 hosts únicos, de los cuales más de 14.000 están ubicados en los EE. UU. Los sistemas restantes se concentran en Alemania, China, los Países Bajos y el Reino Unido.
Un análisis más detallado ha determinado que casi 25.000 expusieron materiales de autenticación derivados de contraseñas antes de iniciar sesión, lo que permitió descifrar credenciales fuera de línea. Quizás aún más preocupante es que un total de 6240 BMC devolvieron material de autenticación para un nombre de usuario vacío que coincidía con una contraseña candidata débil y otros 2340 BMC devolvieron datos de autenticación para una cuenta con nombre como ADMIN o root que coincidía con una contraseña de listas de palabras disponibles públicamente.
En las pruebas realizadas por Lava, las contraseñas de fábrica de HPE iLO se pudieron recuperar en un minuto utilizando hardware GPU moderno, mientras que las contraseñas de fábrica de Supermicro se pudieron recuperar en aproximadamente una hora a pesar de ser asignado de forma única a cada servidor. En respuesta a los hallazgos, Supermicro dijo que evaluará posibles mejoras a la política de contraseña predeterminada para futuras revisiones de hardware.
«CVE-2013-4786 no es nuevo, pero el riesgo que lo rodea ha cambiado», dijo Lava. El craqueo de GPU ha hecho que la recuperación de contraseñas fuera de línea sea más rápida, mientras que la IA moderna y los entornos básicos han hecho que cada servidor expuesto sea más valioso.
Además de eso, ha surgido evidencia de que los actores de amenazas ya están apuntando a interfaces BMC expuestas a Internet, incluidos los operadores de ransomware que dejan una nota de extorsión en una página de inicio de sesión de HPE iLO 4. No está claro quién está detrás de la actividad. Dicho esto, los servidores HPE iLO han sido seleccionados ya en 2020 para implementar un rootkit llamado iLOBleed.
Para contrarrestar el riesgo, se recomienda bloquear el puerto UDP 623 en el borde de la red, rotar las contraseñas emitidas de fábrica durante el aprovisionamiento, deshabilitar opciones heredadas o débiles como IPMI 1.5, restringir el acceso de BMC a una red de administración privada dedicada y aplicar controles de acceso a la red para garantizar que solo los sistemas administrativos aprobados puedan acceder a las interfaces de BMC.
«Las organizaciones han pasado años fortaleciendo las cargas de trabajo y los sistemas operativos en la nube, pero muchas han pasado por alto la infraestructura que se encuentra debajo de ellos», dijo Yakir Kadkoda, CTO y cofundador de Lava, en un comunicado.
«Estos controladores de gestión contienen las claves de los servidores y centros de datos. Una vez comprometidos, los atacantes pueden operar por debajo de la visibilidad de casi cualquier herramienta de seguridad, mantener la persistencia incluso después de que se reconstruyan los sistemas y potencialmente profundizar en la infraestructura crítica. A medida que la infraestructura de IA se expande rápidamente, asegurar esta capa se ha vuelto mucho más urgente».
