Sicherheitsrisiko IPMI: Über 24.000 Server geben ungefiltert Passwort-Hashes preis
Nach Erkenntnissen des Sicherheitsunternehmens Lava gefährdet die seit 22 Jahren dokumentierte Schwachstelle CVE-2013-4786 in der Intelligent Platform Management Interface (IPMI) weltweit Rechenzentrums-Infrastrukturen.
Von 36.872 über den UDP-Port 623 direkt aus dem Internet erreichbaren Baseboard Management Controllern (BMCs) geben 24.650 Systeme – 66,9 Prozent – bereits vor dem Login Passwort-Hashes preis. Für IT-Verantwortliche bedeutet das: eine seit Jahrzehnten bekannte Lücke, ungepatcht und im Produktivbetrieb.
Expositionsfläche und Konfigurationsmängel
Die Hash-Extraktion gelingt ohne vorherige Authentifizierung. Bei 6.240 BMCs akzeptieren die Authentifizierungsroutinen leere Benutzernamen; weitere 2.340 Systeme nutzen gängige Default-Passwörter. Über 30 Prozent der abgezogenen Hashes ließen sich laut Lava mittels Wörterbuchangriffen in Klartext überführen. Geografisch konzentriert sich das Risiko auf die USA mit 39 Prozent der erfassten Hosts. Betroffen sind Plattformen unter anderem von Supermicro und HPE; auch GPU-Knoten in KI-Clustern sind erreichbar, da BMCs unterhalb des Host-Betriebssystems operieren und für Endpoint-Sicherheitssoftware unsichtbar bleiben.
Angriffsparameter und bestätigte Vorfälle
Die Wiederherstellungszeiten fallen hardwareabhängig aus. Supermicro-Factory-Passwörter aus zehn Großbuchstaben brechen auf einem Acht-GPU-System in rund einer Stunde. Bei HPE-iLO-Strukturen mit acht alphanumerischen Zeichen reduziert sich die Zeitspanne je nach Konfiguration auf etwa 32 Sekunden bis rund einen Tag. Die Forscher dokumentieren zudem konkrete Ausnutzung: Auf einem kompromittierten HPE-iLO-4-System fand sich eine Lösegeldforderung über 0,3 BTC; weiterhin wird ein kompromittierter Automobilhersteller gemeldet. Supermicro kündigte als Reaktion eine Überprüfung der internen Standardpasswort-Richtlinien an.
Sofortmaßnahmen
- UDP-Port 623 an der Perimeter-Firewall blockieren.
- Standard-Anmeldedaten aller BMCs ändern, leere Benutzerkonten deaktivieren.
- Management-Netz strikt vom öffentlichen Internet isolieren (VLAN-Trennung, dedizierte Schnittstellen).
- Schwache Verschlüsselungs- und Authentifizierungsoptionen in der BMC-Konfiguration deaktivieren.
- Anmeldedaten in festen Intervallen rotieren.
- Firmware-Stand der BMCs auf CVE-2013-4786 prüfen und Hersteller-Patches einspielen.
- Eigene IP-Bereiche mit dem Lava-Tool BMCRadar auf Exposition gegen das öffentliche Internet prüfen.