BMCs sind kleine, dedizierte Prozessoren auf dem Server-Mainboard. Sie laufen getrennt von Hauptprozessor und Betriebssystem und erlauben unter anderem das Neustarten oder Ein- und Ausschalten von Servern sowie die Überwachung des Systemzustands. Der Zugriff erfolgt typischerweise über das ältere Protokoll Intelligent Platform Management Interface (IPMI), über Redfish als neuere HTTPS-basierte Schnittstelle oder je nach Plattform über Fernkonsole und virtuelle Medien.

Laut Lava liegt das Kernproblem in CVE-2013-4786, einer Schwachstelle im Authentifizierungsprotokoll von IPMI 2.0. Dabei kann ein BMC einem nicht authentifizierten Client bereits vor Abschluss des Anmeldevorgangs Passwort-abgeleitete Authentifizierungs-Hashes zurückliefern. Die Schwachstelle wurde mit IPMI 2.0 im Jahr 2004 eingeführt und erhielt erst 2013 eine CVE-Kennung.

Erreichbar ist der Angriff über UDP-Port 623, den IPMI standardmäßig nutzt. Ein Angreifer kann dort ohne Anmeldung den Hash abgreifen und anschließend offline versuchen, das Passwort per Brute Force zu erraten. Lava-Forscher Michael Katchinskiy betont, dass dafür nicht für jeden Passwortkandidaten eine neue Anfrage an den BMC nötig ist. Das mache das Verfahren besonders effektiv gegen schwache, wiederverwendete, ab Werk gesetzte oder vorhersagbar formatierte Passwörter.

Bei seinem Scan fand Lava 24.650 BMC-Endpunkte, die auf diese Weise verwertbares Authentifizierungsmaterial zurückgaben. Davon akzeptierten 6.240 leere Benutzernamen in Kombination mit schwachen Passwörtern. Bei 2.340 weiteren Systemen existierten benannte Konten wie ADMIN oder root, deren Passwörter mit gängigen Wortlisten übereinstimmten. In vielen Fällen konnte Lava die Passwörter nach eigenen Angaben innerhalb weniger Minuten ermitteln. Die Forscher beobachteten außerdem, dass sich auch manche Standardpasswörter, die nicht in üblichen Wortlisten vorkommen, potenziell knacken lassen, weil sie vorhersagbaren Mustern folgen; genannt werden dabei unter anderem Supermicro-BMCs.

Lava-CTO und Mitgründer Yakir Kadkoda beschreibt BMCs als einen der am stärksten privilegierten Kontrollpunkte in einem Rechenzentrum. Über sie seien unter anderem Fernkonsolenzugriff, Stromsteuerung, virtuelle Medien, Firmware-Management und Konfiguration auf niedriger Ebene möglich. Wird ein solcher Zugang kompromittiert, verlagert sich die Kontrolle unterhalb der üblichen Vertrauensgrenze des Hosts.

Nach Angaben von Lava gibt es klare Hinweise auf reale Kompromittierungen öffentlich erreichbarer BMC-Schnittstellen. Während der Untersuchung identifizierten die Forscher kompromittierte Systeme eines der weltweit größten Hersteller von Automobilkomponenten. Mehrere exponierte Server zeigten Lösegeldforderungen und Zahlungsaufforderungen, was laut Lava auf eine laufende Angriffskampagne hindeutet. In einem weiteren Fall fand Lava einen exponierten HPE-BMC, auf dem ebenfalls eine Lösegeldnachricht angezeigt wurde, was den unbefugten Zugriff auf die Management-Schnittstelle bestätigte.

Als unmittelbare Gegenmaßnahme empfiehlt Kadkoda, BMC- und IPMI-Schnittstellen aus dem öffentlichen Internet zu entfernen. Darüber hinaus sollten Unternehmen BMCs in ein dediziertes Management-Netz isolieren, den Zugriff auf streng kontrollierte administrative Pfade beschränken, ab Werk gesetzte und wiederverwendete Zugangsdaten ersetzen, unsichere Alt-Funktionen deaktivieren und das Out-of-Band-Netz kontinuierlich überwachen.