Los investigadores de ciberseguridad han emitido una advertencia después de descubrir más de 36.000 interfaces de gestión de controladores de gestión de placa base (BMC) que exponen el protocolo de interfaz de gestión de plataforma inteligente (IPMI) a la Internet pública.
Un nuevo informe compartido por Lava con The Hacker News encontró que 24,650 de las 36,872 interfaces de administración de servidores expuestas a Internet que ejecutaban IPMI expusieron hashes de autenticación derivados de contraseñas antes de iniciar sesión debido a una vulnerabilidad en la propia especificación IPMI v2.0. IPMI v2.0 se introdujo en febrero de 2024.
El problema en cuestión es CVE-2013-4786 (puntuación CVSS: 7,5), que permite a atacantes remotos obtener el hash de contraseña de una cuenta válida y realizar ataques de adivinación de contraseña fuera de línea obteniendo el HMAC de la respuesta del mensaje del Protocolo de intercambio de claves autenticado (RAKP) RMCP+ del BMC.
Según un aviso publicado por Dell, «este es un problema específico de la especificación IPMI v2.0» y el fabricante de la PC afirma que no existe ningún parche.
«Más del 30% de los hashes devueltos estaban asociados con contraseñas que podían recuperarse usando listas de palabras comunes y formatos predecibles de pegatinas de chasis de fábrica», dijo el investigador de seguridad Michael Kaczynski. «Esta exposición también afectó a los servidores modernos Supermicro y HPE operados por proveedores de GPU, incluidos los sistemas que todavía usaban contraseñas emitidas por fábrica».
El BMC es un procesador de gestión especial integrado en la placa base del servidor que controla la alimentación, el firmware, el acceso remoto a la consola, la instalación del sistema operativo y la recuperación del sistema. También sirve como un componente crítico de la automatización y el tiempo de actividad del centro de datos remoto, monitoreando la telemetría del hardware y facilitando la implementación masiva de actualizaciones de firmware y configuraciones de BIOS.
Para conectar comandos remotos con hardware, los BMC normalmente se comunican mediante protocolos como IPMI o Redfish. Como destacó la empresa de seguridad de firmware Eclypsium a finales de 2022 y principios de 2023, la posición privilegiada de la que disfrutan los BMC también podría convertirlos en objetivos de ataque ideales para actores maliciosos que buscan obtener control remoto e implementar malware persistente.
Debido a que el BMC se ejecuta de manera completamente independiente del sistema operativo host, lo que se conoce como administración fuera de banda (OOB), un atacante que logra comprometer un BMC expuesto puede eludir los controles de seguridad tradicionales y mantener el acceso a través de las reinstalaciones del sistema operativo.
«En los centros de datos de IA modernos, donde el mismo entorno básico a menudo alberga a varios inquilinos, un único BMC expuesto puede comprometer las cargas de trabajo de varias organizaciones a través de una infraestructura compartida o un movimiento lateral, lo que lo convierte en un punto ciego crítico en la infraestructura que respalda el auge de los centros de datos de IA», dijo la compañía israelí.
El foco de la investigación es CVE-2013-4786, una debilidad de 20 años en IPMI 2.0. Un atacante puede aprovechar esto para recuperar contraseñas débiles, reutilizadas, configuradas de fábrica o en un formato predecible.
«Durante el proceso de autenticación, el BMC puede devolver un mensaje de respuesta que contiene un código de autenticación HMAC-SHA1 calculado utilizando la contraseña de la cuenta y los valores de sesión conocidos por el solicitante», explicó Katchinskiy. «Una parte remota no autenticada que pueda alcanzar el puerto UDP 623 puede solicitar esta respuesta y probar las adivinanzas de contraseña fuera de línea. A diferencia de los inicios de sesión repetidos en línea, el proceso fuera de línea no requiere una nueva solicitud al BMC para cada candidato de contraseña».
Al 6 de mayo de 2026, una búsqueda en Internet pública de servicios IPMI expuestos en el puerto UDP 623 reveló 36.872 hosts únicos, más de 14.000 de los cuales estaban ubicados en los Estados Unidos. Los sistemas restantes se concentraron en Alemania, China, los Países Bajos y el Reino Unido.
Un análisis más detallado reveló que aproximadamente 25.000 materiales de autenticación derivados de contraseñas quedaron expuestos antes de iniciar sesión, lo que permitió descifrar credenciales fuera de línea. Quizás aún más preocupante, un total de 6240 BMC devolvieron datos de autenticación para nombres de usuario vacíos que coincidían con sugerencias de contraseñas débiles, y 2340 BMC adicionales devolvieron datos de autenticación para cuentas nombradas como ADMIN y root que coincidían con contraseñas de la lista pública de palabras.
En las pruebas realizadas por Lava, las contraseñas de fábrica de HPE iLO se pudieron recuperar en menos de un minuto utilizando hardware GPU moderno, mientras que las contraseñas de fábrica de Supermicro se pudieron recuperar en aproximadamente una hora, aunque están asignadas de forma única a cada servidor. Tras los hallazgos, Supermicro dijo que evaluará posibles mejoras a su política de contraseñas predeterminadas para futuras revisiones de hardware.
«CVE-2013-4786 no es nuevo, pero los riesgos que lo rodean han cambiado», dijo Lava. El descifrado de GPU acelera la recuperación de contraseñas fuera de línea, y los entornos modernos de IA y bare metal aumentan el valor de cada servidor expuesto.
Además, ha surgido evidencia de que los actores de amenazas ya están apuntando a las interfaces de BMC expuestas a Internet, como un operador de ransomware que deja una nota de extorsión en la página de inicio de sesión de HPE iLO 4. No está claro quién está detrás de esta actividad. Dicho esto, se han elegido servidores HPE iLO para implementar un rootkit llamado iLOBleed que data de 2020.
Para combatir el riesgo, recomendamos bloquear el puerto UDP 623 en el borde de la red, rotar las contraseñas emitidas de fábrica durante el aprovisionamiento, deshabilitar opciones heredadas o débiles como IPMI 1.5, restringir el acceso de BMC a una red de administración privada dedicada y aplicar controles de acceso a la red para garantizar que solo los sistemas de administración autorizados puedan acceder a las interfaces de BMC.
«Las organizaciones han pasado años fortaleciendo sus cargas de trabajo y sistemas operativos en la nube, pero muchas han pasado por alto la infraestructura subyacente», dijo Yakir Kadkoda, CTO y cofundador de Lava, en un comunicado.
«Estos controladores de gestión contienen las claves de sus servidores y centros de datos. Una vez comprometidos, los atacantes pueden operar bajo la visibilidad de casi cualquier herramienta de seguridad, permanecer persistentes incluso después de que se reconstruya un sistema y penetrar profundamente en su infraestructura crítica. A medida que la infraestructura de IA se expande rápidamente, proteger esta capa se vuelve mucho más urgente».
Source link
