Cybersecurityonderzoekers waarschuwen voor een kwetsbaarheid in Baseboard Management Controllers (BMC’s) die via het Intelligent Platform Management Interface (IPMI) protocol wachtwoordhashes prijsgeven voordat een gebruiker kan inloggen. Uit een nieuw rapport blijkt dat van de 36.872 internet-blootgestelde servermanagementinterfaces die IPMI gebruiken, 24.650 systemen deze gevoelige authenticatiegegevens onbeschermd tonen. Dit probleem is inherent aan de IPMI v2.0-specificatie, die sinds februari 2024 in gebruik is.

De kwetsbaarheid, bekend als CVE-2013-4786 met een CVSS-score van 7.5, stelt aanvallers in staat om via het Remote Management Control Protocol Plus (RMCP+) een HMAC-SHA1 authenticatiecode te verkrijgen. Deze code is gebaseerd op het wachtwoord van een account en kan offline worden gebruikt om wachtwoorden te raden zonder dat er telkens een nieuwe verbinding met de BMC nodig is. Volgens een advisory van Dell is er geen patch beschikbaar omdat het probleem voortkomt uit de ontwerpkeuzes van IPMI v2.0 zelf.

Beveiligingsonderzoeker Michael Katchinskiy meldt dat meer dan 30 procent van de gelekte hashes gekoppeld waren aan wachtwoorden die met gangbare woordenlijsten of voorspelbare fabrieksformaten konden worden achterhaald. De kwetsbaarheid treft ook moderne servers van onder andere Supermicro en HPE, waaronder systemen die nog fabriekswachtwoorden gebruiken. BMC’s zijn gespecialiseerde managementprocessors op moederborden die onder meer verantwoordelijk zijn voor het beheer van stroomvoorziening, firmware, en remote console toegang. Ze spelen een cruciale rol in datacenterautomatisering en het onderhoud van hardware.

Omdat BMC’s onafhankelijk van het host-besturingssysteem opereren via Out-of-Band management, kunnen aanvallers die een BMC compromitteren traditionele beveiligingsmaatregelen omzeilen, toegang behouden na herinstallaties van het besturingssysteem en persistent malware installeren. Dit vormt een groot risico in moderne datacenters, zeker in omgevingen waar meerdere organisaties gebruikmaken van gedeelde infrastructuur. De blootstelling van deze BMC’s op UDP-poort 623 is wereldwijd, met een concentratie in de Verenigde Staten, Duitsland, China, Nederland en het Verenigd Koninkrijk.