Die von Lava untersuchte Schwachstelle CVE-2013-4786 betrifft die Authentifizierung in IPMI 2.0. Sie erlaubt es Angreifern, eine Authentifizierungsantwort anzufordern, die anschließend mit spezialisierter Hardware wie GPU-Systemen offline auf das zugrunde liegende Passwort geprüft werden kann. Anders als bei einem direkten Anmeldeversuch geschieht das Knacken damit außerhalb des Zielsystems.
Für Administratoren sind BMCs ein zentrales Werkzeug zur Fernverwaltung von Servern. Entsprechend weitreichend sind die Folgen eines kompromittierten Zugangs: Laut Lava kann ein Angreifer damit Konfigurationen auf niedriger Ebene verändern, bösartige Firmware einspielen und ein System auf einer Ebene kompromittieren, die von Sicherheitslösungen nicht überwacht wird. Die Forscher weisen zudem darauf hin, dass wiederhergestellte Zugangsdaten in realen Umgebungen auch für weitere Management-Schnittstellen derselben Umgebung funktionieren können. Ein einzelner kompromittierter BMC könne so als Ausgangspunkt in die breitere Verwaltungsebene dienen.
In Umgebungen mit Künstlicher Intelligenz und unzureichend segmentierter Infrastruktur könne das besonders weit reichen. Wie Lava erläutert, kann ein physischer GPU-Server mehrere Mandanten oder Arbeitslasten über Virtualisierung, GPU-Partitionierung oder andere Formen gemeinsamer Nutzung bedienen. In solchen Konstellationen könne die Kompromittierung eines einzelnen physischen Servers mehrere Kunden-Arbeitslasten stören oder offenlegen.
Bei der Suche nach öffentlich erreichbaren IPMI-Diensten auf UDP-Port 623 fand Lava 36.872 Hosts im Internet. Davon legten 24.650 passwortabgeleitete Authentifizierungsmaterialien offen, die sich für Offline-Angriffe eignen. Nach Angaben der Forscher akzeptierten 6.240 dieser Hosts bei der Authentifizierung einen leeren Benutzernamen; anschließende Tests hätten bestätigt, dass diese Systeme zudem durch schwache Passwörter geschützt waren. Weitere 2.340 Instanzen nutzten schwache Administrator-Passwörter, die in öffentlichen Wörterbüchern enthalten waren.
Auf einer von BleepingComputer eingesehenen Live-Karte lag die USA mit 39 Prozent der anfälligen Server an der Spitze. Lava zufolge handelt es sich bei vielen der online exponierten BMCs um Supermicro-Systeme. Diese seien mit einem auf dem Gehäuseaufkleber gedruckten, zehn Zeichen langen Passwort aus Großbuchstaben abgesichert; der Benutzername laute in allen Fällen „ADMIN“. Nach Einschätzung der Forscher bietet dieses Format zwar theoretisch viel Spielraum, die starre Struktur mache Offline-Angriffe aber dennoch praktikabel.
Zum Vergleich schätzte Lava, dass sich ein werksseitiges Passwort von HPE pro abgefangener Authentifizierungsantwort auf einem Apple-M3-System in etwa einem Tag wiederherstellen lasse. Während der Untersuchung stießen die Forscher zudem auf eine aus dem Internet erreichbare Anmeldeseite von HPE iLO 4, auf der eine Erpressungsnotiz mit einer Forderung von 0,3 BTC angezeigt wurde. Lava betont, dass dies kein Beleg für eine breite Ausnutzung oder auch nur für erfolgreiche Angriffe ist, es zeige aber, dass zumindest einige bösartige Aktivitäten stattfinden.
Lava informierte Supermicro im Juni. Das Unternehmen bestätigte das Risiko und verwies darauf, dass die offizielle Empfehlung an Administratoren bereits den Austausch werkseitiger BMC-Passwörter sowie die Isolation von Management-Netzen vorsehe. Zugleich erklärte Supermicro, stärkere Standard-Passwortregeln für künftige Hardware-Revisionen prüfen zu wollen. HPE wurde laut Lava ebenfalls benachrichtigt, antwortete aber nur mit einer automatischen Standardnachricht; eine weitere Rückmeldung des Sicherheitsteams blieb demnach aus.
Als Gegenmaßnahmen empfehlen die Forscher, IPMI und Redfish nicht öffentlich im Internet bereitzustellen, werksseitige BMC-Passwörter zu wechseln, den Zugriff auf isolierte Management-Netze zu beschränken und die veraltete IPMI-Authentifizierung abzuschalten.