BMCs gehören in Rechenzentren zu den privilegiertesten Steuerungspunkten. Sie stellen mehrere Verwaltungsoberflächen bereit, darunter das Out-of-Band-Protokoll IPMI, die HTTPS-basierte Verwaltungs-API Redfish sowie eine webbasierte Administrationsoberfläche. Nach Angaben von Lava greifen viele dieser Implementierungen auf dieselbe Benutzerdatenbank zurück. Ein Zugang, der mit IPMI funktioniert, kann demnach auch für die Weboberfläche oder die Redfish-API gelten.
Genau das macht die IPMI-Schwachstelle besonders problematisch. Lava erklärt, dass der Authentifizierungsprozess von IPMI Informationen preisgeben kann, die eine Offline-Wiederherstellung von Passwörtern ermöglichen. Laut NIST erlaubt CVE-2013-4786 das Erlangen von Passwort-Hashes und deren Offline-Knacken, indem ein Angreifer den HMAC aus einer Antwort auf eine RAKP-Nachricht 2 von einem BMC abruft.
Wie Lava weiter ausführt, kann der BMC während der Authentifizierung einen HMAC-SHA1-Authentifizierungscode zurückgeben, der unter Verwendung des Kontopassworts und von Sitzungswerten berechnet wird, die dem Anfragenden bekannt sind. Eine nicht authentifizierte entfernte Partei, die UDP-Port 623 erreichen kann, kann diese Antwort anfordern und Passwortkandidaten offline testen. Dadurch entfällt die Notwendigkeit, für jeden Versuch eine neue Online-Anmeldung abzusetzen.
Das erleichtert insbesondere die Wiederherstellung schwacher, wiederverwendeter oder voreingestellter Passwörter. Lava fand darüber hinaus 6.240 Hosts, die einen leeren Benutzernamen in Kombination mit einem schwachen Passwort akzeptierten. Bei 2.340 dieser Systeme existierte zudem ein benanntes Konto wie Admin oder root, das Passwörter verwendete, die in öffentlich verfügbaren Wortlisten verbreitet sind.
Neben häufig genutzten Passwörtern beobachtete Lava auch BMCs mit eingeschränkten und vorhersagbaren, ab Werk vergebenen Passwortformaten. Das Sicherheitsunternehmen wertet dies als Hinweis auf ein grundlegenderes Problem in der Verwaltungsinfrastruktur von Rechenzentren. BMCs steuerten kritische Infrastruktur, würden aber oft deutlich weniger überwacht und geschützt als die Systeme, die sie verwalten.
In Verbindung mit moderner GPU-gestützter Passwortentschlüsselung und vorhersagbaren Werkspasswörtern könne die Schwachstelle nach Einschätzung von Lava aus einem einzelnen exponierten BMC einen privilegierten und schwer zu erkennenden Zugangspunkt im Verwaltungsnetz machen. Die Untersuchung stützt sich auf im Internet erreichbare Management-Schnittstellen; Lava beziffert deren Zahl mit knapp 37.000, von denen mehr als 24.000 vor der Anmeldung Authentifizierungs-Hashes offenlegen.