Im Zentrum der Untersuchung steht CVE-2013-4786, eine seit rund 20 Jahren bekannte Schwäche in IPMI 2.0. Sie erlaubt es einem nicht authentisierten entfernten Angreifer, über UDP-Port 623 eine Antwort aus dem RMCP+-Authentifizierungs- und Schlüsselaustausch anzufordern. Diese Antwort enthält nach Angaben von Michael Katchinskiy einen HMAC-SHA1-Authentifizierungscode, der aus dem Kontopasswort und dem anfragenden System bekannten Sitzungswerten berechnet wird. Das ermöglicht Offline-Angriffe zum Erraten von Passwörtern, ohne dass für jeden Versuch eine neue Anfrage an den BMC nötig wäre.
Dell bezeichnete das Problem in einer Sicherheitsmitteilung als „ein grundlegendes Problem der Spezifikation für IPMI 2.0“ und erklärte, dass es keinen Patch gebe. Laut Lava wurden von 36.872 eindeutig identifizierten, öffentlich erreichbaren Hosts mit IPMI mehr als 14.000 in den USA gefunden. Weitere Systeme konzentrieren sich auf Deutschland, China, die Niederlande und Großbritannien.
Die Detailanalyse ergab, dass fast 25.000 Systeme schon vor der Anmeldung passwortbasierte Authentifizierungsmaterialien offenlegten. 6.240 BMCs lieferten Authentifizierungsdaten für einen leeren Benutzernamen zurück, die zu einem schwachen Passwortkandidaten passten. Weitere 2.340 BMCs antworteten mit Authentifizierungsdaten für benannte Konten wie ADMIN oder root, deren Passwörter mit öffentlich verfügbaren Wortlisten übereinstimmten.
In Tests von Lava ließen sich werkseitige HPE-iLO-Passwörter mit moderner GPU-Hardware innerhalb einer Minute wiederherstellen. Werkseitige Supermicro-Passwörter waren trotz individueller Vergabe pro Server in ungefähr einer Stunde rekonstruierbar. Supermicro erklärte als Reaktion auf die Ergebnisse, man werde mögliche Verbesserungen der Standard-Passwortrichtlinie für künftige Hardware-Revisionen prüfen.
BMCs sind spezialisierte Management-Prozessoren auf Server-Mainboards. Sie steuern unter anderem Stromversorgung, Firmware, entfernten Konsolenzugriff, Betriebssysteminstallation und Systemwiederherstellung. Außerdem sind sie ein zentraler Baustein für die Automatisierung in Rechenzentren, für Hardware-Telemetrie sowie für die breite Verteilung von Firmware-Updates und BIOS-Konfigurationen. Für die Kommunikation mit der Hardware nutzen sie typischerweise Protokolle wie IPMI und Redfish.
Wie Eclypsium bereits Ende 2022 und Anfang 2023 hervorgehoben hatte, macht die privilegierte Stellung dieser Controller sie auch zu attraktiven Angriffszielen. Da BMCs vollständig unabhängig vom Host-Betriebssystem arbeiten, also außerhalb des eigentlichen Betriebssystems verwaltet werden, können Angreifer bei einer erfolgreichen Kompromittierung traditionelle Sicherheitskontrollen umgehen, Neuinstallationen des Betriebssystems überdauern und dauerhaften Zugriff behalten.
Lava warnt, dass das Risiko heute anders zu bewerten sei als früher. Die Wiederherstellung von Passwörtern aus Hashwerten sei durch GPU-basiertes Knacken deutlich schneller geworden, während moderne KI- und Bare-Metal-Umgebungen den Wert eines einzelnen öffentlich erreichbaren Servers erhöhten. In modernen KI-Rechenzentren, in denen dieselbe Bare-Metal-Umgebung oft von mehreren Mandanten genutzt werde, könne ein einzelner exponierter BMC laut dem israelischen Unternehmen die Arbeitslasten mehrerer Organisationen über gemeinsam genutzte Infrastruktur oder seitliche Bewegung gefährden.
Hinweise deuten Lava zufolge zudem darauf hin, dass Bedrohungsakteure bereits öffentlich erreichbare BMC-Schnittstellen ins Visier nehmen. Genannt wird unter anderem ein Erpressungshinweis auf der Anmeldeseite eines HPE iLO 4. Unklar ist, wer hinter dieser Aktivität steht. HPE-iLO-Server waren außerdem bereits 2020 Ziel beim Einsatz des Rootkits iLOBleed.