Die Schwachstelle liegt in der Firmware des Baseboard Management Controllers, kurz BMC. Dieses Bauteil arbeitet getrennt vom Betriebssystem direkt auf dem Motherboard und erlaubt Fernwartung auch dann, wenn der eigentliche Server nicht läuft. Genau darin liegt das Risiko: Wenn das BMC über das Netz erreichbar ist, kann es einen direkten Zugang zur Hardware bieten.
Laut Quelle kann das BMC im Regelfall auf einer eigenen Netzwerkbuchse laufen. Viele Mainboards haben aber eine Fallback-Automatik. Dann meldet sich das BMC auf einer anderen Onboard-Netzwerkschnittstelle und erhält per DHCP eine eigene IP-Adresse. Die Verwaltung kann so ungewollt nach außen offenstehen. Mehr dazu findet sich auch bei The Circle.
Die Forschenden von Lava HQ haben beim Scan des Internets insgesamt 36.872 Server-Management-Interfaces gefunden, die IPMI sprechen. Von diesen lieferten 24.650 vom Passwort abgeleitete Hashes zurück, die sich offline knacken lassen. Nach Angaben der Analysten lassen sich 30 Prozent dieser Hashes mit Passwörtern in Verbindung bringen, die sich mit üblichen Wortlisten oder vorhersagbaren werksseitigen Werten wiederherstellen lassen.
Die Quelle nennt zudem Belege dafür, dass einige erreichbare BMC-Schnittstellen bereits angegriffen wurden. Als Beispiel wird ein HPE iLO-4-System mit einer Ransomware-Nachricht genannt. Betroffen sind laut Text auch moderne Supermicro- und HPE-Server sowie Systeme mit werksseitigen Standardpasswörtern.
BMC steht für den Fernwartungscontroller auf dem Mainboard. Er läuft getrennt vom Betriebssystem und ermöglicht den Zugriff auf die Hardware. IPMI ist das Protokoll, das diese Server-Fernwartung beschreibt; in der Quelle wird es als Protokoll aus dem Jahr 2004 genannt.
Die genannte Schwachstelle trägt den Codenamen Cipher-0 und wurde 2013 bekannt. Sie erlaubt laut Quelle, die Authentifizierung von IPMI-2.0 zu umgehen. Die Passwörter lassen sich aus den beim RMCP+ Authenticated Key-Exchange Protocol verwendeten Hashes rekonstruieren, etwa mit hashcat. Die Schwachstelle wird als CVE-2013-4786 mit CVSS 7.5 und dem Risiko „hoch“ eingeordnet.
Aus der Quelle lassen sich vor allem vier praktische Punkte ableiten:
Für IT-Verantwortliche bedeutet das: Nicht nur die eigentliche Serveranwendung zählt, sondern auch die separate Fernwartungsebene. Die Prüfung sollte daher die Netzwerkanbindung und die Zugangsdaten des BMC einschließen.
Die Quelle nennt mehrere konkrete Gegenmaßnahmen. An der Netzwerkgrenze sollte der UDP-Port 623 per Firewall blockiert werden. Werksseitige Zugänge sollen beim Einrichten geändert werden. Veraltete oder schwache Optionen wie IPMI 1.5, Cipher Suite 0, anonyme Konten und die „None“-Authentifizierung sollen deaktiviert werden.
Außerdem soll der BMC-Zugriff auf dedizierte private Verwaltungsnetze oder zumindest auf ein VPN beschränkt werden. Die Überwachung des Verwaltungsnetzwerks soll getrennt von anderen Produktionssystemen erfolgen. Als für Internetzugriffe offen erkannte Systeme sollen IT-Verantwortliche nach Angaben der Quelle als kompromittiert betrachten und von Grund auf neu aufsetzen.
Die Quelle beschreibt eine alte, aber weiterhin relevante Schwachstelle: Sie existiert seit 2004 im IPMI-Protokoll und ist seit 2013 bekannt. Dass auch aktuelle Server-Mainboards betroffen sein können, zeigt das Grundproblem: Fernwartung ist nützlich, aber nur dann beherrschbar, wenn sie sauber abgeschottet und kontrolliert wird.
Wer Server administriert, sollte daher prüfen, ob BMC-Schnittstellen unbeabsichtigt erreichbar sind. Die eigentliche Frage ist nicht nur, ob Fernwartung vorhanden ist, sondern ob sie wirklich auf das vorgesehene Verwaltungsnetz begrenzt bleibt.
Wenn Sie sich mit anderen Errichtern über solche praxisnahen Themen austauschen möchten, finden Sie im The Circle of Security Professionals ein exklusives Netzwerk für inhabergeführte Betriebe, die mit technischem Außendienst arbeiten und sich mit anderen Fachbetrieben auf Augenhöhe vernetzen wollen.
Quelle: Heise