Mais de 24.000 servidores expostos na internet estão vazando hashes de senhas de autenticação por causa de uma vulnerabilidade de 20 anos em sua interface de Baseboard Management Controller, ou BMC.
Em pelo menos um terço desses casos, os pesquisadores conseguiram descobrir a senha correta usando dicionários e padrões em adesivos de fábrica que indicavam credenciais padrão.
Os servidores expostos são vulneráveis à
CVE-2013-4786
, uma fraqueza de autenticação do IPMI 2.0 enraizada em um protocolo introduzido em 2004.
O problema de segurança permite que atacantes solicitem uma resposta de autenticação que pode ser usada para quebrar a senha offline com rigs dedicados de GPU ou configurações semelhantes.
Os BMCs são processadores integrados à placa-mãe do servidor que permitem aos administradores gerenciar o sistema remotamente, de forma independente do sistema operacional.
Eles oferecem suporte a ações de baixo nível, como ligar e desligar servidores, atualizar firmware ou montar mídia virtual.
O acesso aos BMCs pode dar aos atacantes controle sobre servidores físicos, permitindo alterar configurações de baixo nível, aplicar atualizações maliciosas de firmware e comprometer o sistema em uma camada não monitorada por soluções de segurança.
Pesquisadores da startup de cibersegurança e infraestrutura Lava afirmam que, em cenários reais, credenciais recuperadas podem funcionar em várias interfaces de gerenciamento dentro do mesmo ambiente, e que um único BMC comprometido pode servir como ponto de pivô para a camada de gerenciamento mais ampla.
Em ambientes de IA com infraestrutura mal segmentada, os atacantes poderiam afetar vários tenants ao mesmo tempo.
“Um servidor físico com GPU pode atender vários tenants ou cargas de trabalho por meio de virtualização, particionamento de GPU ou outros mecanismos de compartilhamento”, disseram os pesquisadores da Lava.
“Nesses ambientes, o comprometimento de um servidor físico pode interromper ou expor várias cargas de trabalho de clientes.”
Ao buscar serviços IPMI publicamente acessíveis na porta UDP 623, os pesquisadores encontraram 36.872 hosts expostos na internet.
Desse total, 24.650 expunham material de autenticação derivado de senha, que poderia ser usado em ataques offline de quebra de senha.
Segundo os pesquisadores da Lava, 6.240 dos hosts aceitavam um nome de usuário vazio durante a autenticação, e testes posteriores confirmaram que eles também estavam protegidos por senhas fracas.
Outras 2.340 instâncias usavam senhas fracas de administrador que correspondiam a dicionários públicos, o que as tornava muito fáceis de invadir.
Em um mapa de exposição ao vivo, os Estados Unidos aparecem no topo da lista, com 39% dos servidores vulneráveis.
Os pesquisadores da Lava observam que um grande número dos BMCs encontrados expostos online são sistemas Supermicro protegidos por uma senha de 10 caracteres em letras maiúsculas impressa no rótulo do chassi, com o nome de usuário “ADMIN” em todos os casos.
Eles argumentam que, embora esse formato teoricamente ofereça ampla margem, sua estrutura limitada ainda torna a quebra offline viável.
Para comparação, os pesquisadores estimaram que recuperar uma senha de fábrica da HPE levaria cerca de 1 dia por resposta capturada, uma resposta de autenticação obtida durante o handshake do IPMI, em um sistema Apple M3.
A Lava informa que, durante a pesquisa, encontrou uma página de login do HPE iLO 4 exposta na internet exibindo uma nota de resgate exigindo 0,3 BTC.
Embora isso não prove atividade de exploração generalizada, nem mesmo tentativas bem-sucedidas, o achado mostra que ao menos parte da atividade maliciosa já está em andamento.
Os pesquisadores notificaram a Supermicro em junho e, embora a empresa tenha reconhecido o risco, afirmou que a orientação oficial para administradores recomenda a rotação de senhas padrão de BMC e o isolamento das redes de gerenciamento.
A companhia, no entanto, disse que vai avaliar políticas mais fortes de senha padrão para futuras revisões de hardware.
A Lava também notificou a HPE, mas recebeu apenas uma resposta automática padrão e nenhum retorno posterior da equipe de segurança da fabricante.
Os pesquisadores recomendam manter IPMI e Redfish fora da internet pública, rotacionar as senhas de fábrica do BMC, restringir o acesso a redes de gerenciamento isoladas e desativar a autenticação legada do IPMI.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...