IT-Forscher haben über eine 20 Jahre alte Sicherheitslücke in der Server-Fernwartung Zugriff auf tausende Server in Rechenzentren erhalten können. IT-Verantwortliche sollten ihre Systeme überprüfen und gegebenenfalls Gegenmaßnahmen ergreifen – die Systeme können auch ohne Absicht im Netz erreichbar sein.
Die IT-Sicherheitsforscher von Lava HQ haben eine Analyse der Verbreitung der Schwachstelle in der Firmware des Baseboard Management Controllers (BMC) vieler auch aktueller Server-Mainboards veröffentlicht. Das BMC läuft getrennt vom Betriebssytem direkt auf dem Motherboard und ermöglicht die Fernwartung der Hardware ohne physischen Zugang – selbst dann, wenn der eigentliche Server nicht arbeitet.
Im verwendeten IPMI-Protokoll aus dem Jahr 2004 wurde im Jahr 2013 eine Schwachstelle mit dem Codenamen „Cipher-0“ bekannt, durch die sich die Authentifizierung von IPMI-2.0 umgehen lässt. Die Passwörter lassen sich aus den beim RMCP+ Authenticated Key-Exchange Protocol (RAKP) verwendeten Hashes etwa mit hashcat wieder rekonstruieren (CVE-2013-4786, CVSS 7.5, Risiko „hoch“).
Wie die Analysten schreiben, haben sie beim Scan des Internets insgesamt 36.872 Server-Management-Interfaces aufgespürt, die das IPMI-Protokoll sprechen. Von denen lieferten 24.650 vom Passwort abgeleitete Hashes zurück, die sich dann sogar offline knacken lassen. Den IT-Forschern zufolge lassen sich 30 Prozent der zurückgelieferten Hashes mit Passwörtern in Verbindung bringen, die mit üblichen Wortlisten oder vorhersagbaren werksseitigen Werten sich wiederherstellen lassen. Sie haben zudem Belege dafür gefunden, dass einige der im Internet erreichbaren BMC-Schnittstellen bereits erfolgreich angegriffen wurden. So zeigte ein HPE iLO-4-System eine Ransomware-Nachricht an. Es sind auch moderne Supermicro- und HPE-Server betroffen, wie sie Anbieter von GPU-Rechenzeit nutzen, zudem gehören Systeme dazu, die noch die werksseitigen Standardpasswörter nutzen.
