Una investigación de la empresa Lava identificó 36.872 interfaces de Baseboard Management Controller (BMC) accesibles desde Internet mediante el protocolo Intelligent Platform Management Interface (IPMI). De ese total, 24.650 sistemas exponen material de autenticación derivado de contraseñas antes del proceso de inicio de sesión debido al CVE-2013-4786, una vulnerabilidad asociada a la especificación IPMI 2.0. La falla permite que un atacante obtenga respuestas de autenticación y realice ataques offline para recuperar credenciales sin necesidad de efectuar múltiples intentos de acceso contra el servidor.
Los BMC son procesadores integrados en la placa base de los servidores que permiten administrar el hardware de manera remota, independientemente del sistema operativo. Entre sus funciones se encuentran el encendido y apagado de equipos, la instalación remota de sistemas operativos, la actualización de firmware y la recuperación del servidor. Debido a ese nivel de privilegios, un compromiso del BMC puede otorgar control sobre funciones críticas del hardware y permitir modificaciones persistentes que escapan a los mecanismos tradicionales de seguridad del sistema operativo.
El estudio también determinó que 6.240 BMC devolvían material de autenticación incluso utilizando un nombre de usuario vacío, mientras que otras 2.340 instancias empleaban contraseñas débiles presentes en diccionarios públicos para cuentas como ADMIN o root. Según los investigadores, “más del 30% de los hashes devueltos estaban asociados con contraseñas que podían recuperarse utilizando listas de palabras comunes y formatos predecibles de etiquetas de chasis de fábrica”.
En sus pruebas, Lava logró recuperar contraseñas de fábrica de servidores HPE utilizando hardware GPU moderno en tiempos reducidos, mientras que las credenciales predeterminadas de sistemas Supermicro también pudieron recuperarse mediante ataques offline.
Los investigadores advirtieron que el impacto potencial aumenta en centros de datos modernos y plataformas de inteligencia artificial donde un mismo servidor físico puede alojar múltiples cargas de trabajo o clientes. En ese contexto, “un único BMC expuesto puede poner en riesgo las cargas de trabajo de varias organizaciones a través de una infraestructura compartida o del movimiento lateral, lo que supone un importante punto ciego en la infraestructura que sustenta el auge de los centros de datos de IA”, indicaron los especialistas.
Además, durante la investigación se detectó una interfaz HPE iLO 4 accesible desde Internet que mostraba una nota de extorsión solicitando el pago de 0,3 BTC, lo que evidencia actividad maliciosa dirigida contra este tipo de sistemas, aunque los investigadores aclaran que ello no constituye prueba de una explotación generalizada.
Lava notificó sus hallazgos a Supermicro y HPE. Supermicro respondió que revisará políticas de contraseñas predeterminadas más robustas para futuras versiones de hardware, aunque recordó que ya recomienda cambiar las credenciales de fábrica y aislar las redes de administración. Dell, por su parte, mantiene publicado que el problema corresponde a una limitación inherente de la especificación IPMI 2.0 y que no existe un parche para corregirla.
Frente a este escenario, los especialistas de Lava recomendaron impedir el acceso público a IPMI y Redfish, bloquear el puerto UDP 623 en el perímetro de red, reemplazar las contraseñas predeterminadas durante el aprovisionamiento de los equipos, deshabilitar mecanismos de autenticación heredados y restringir el acceso a los BMC mediante redes privadas de administración.
