Im vom Baseboard Management Controller (BMC)-Interface verwendeten IPMI 2.0-Protokoll gibt es eine Authentifizierungsschwachstelle (CVE-2013-4786). Diese besteht wohl seit 2004 und kann den Password-Hash zur Authentifizierung leaken. Die Server wären dann per Internet öffentlich angreifbar, und die Passwort-Hashes sind in vielen Fällen knackbar. Es gibt aber Gegenmaßnahmen, um laufende Angriffe zu verhindern.
BMC und IPMI
Ein Baseboard Management Controller (BMC) ist ein spezialisierter Server Management Prozessor, der auf zahlreichen Server Mainboards aufgelötet ist. Er dient vor allem zur Steuerung, Fernwartung und Überwachung eines Servers. Über die entsprechenden Sensoren erhält der BMC Daten über Systemparameter wie Temperatur, Umdrehungsgeschwindigkeit der Lüfter, Betriebssystemstatus etc.
Der BMC gibt diese Sensorwerte aus und kann über das Netzwerk Alarmmeldungen an den Systemadministrator versenden, falls Parameter ein festgelegtes Intervall verlassen und damit eine Störung des Systems vermuten lassen. Der Administrator kann daraufhin entfernt auf den Rechner zugreifen und beispielsweise einen Neustart vornehmen, falls das Betriebssystem abgestürzt ist.
Dazu stellen BMCs in der Regel ein Web Interface sowie Schnittstellen für IPMI und Redfish bereit, wie man bei Thomas Krenn nachlesen kann. Der BMC kommuniziert mit dem BMC Management Utility (BMU) auf einem Remote Client über IPMI-Protokolle. Das Kürzel IPMI steht dabei für das Intelligent Platform Management Interface. Das ist eine standardisierte Schnittstelle in Computer-Hardware und -Firmware, über die Rechner auf Hardwareebene ferngesteuert überwacht und verwaltet werden können, auch wenn sie ausgeschaltet sind oder kein Betriebssystem installiert ist. IPMI stellt damit eine Realisierungsform von Lights Out Management (LOM) dar. IPMI wurde ursprünglich von Intel, Hewlett-Packard, NEC und Dell, jedoch als herstellerübergreifender Industriestandard mit Schwerpunkt auf Serversysteme entwickelt.
Aufgrund der weitgehenden Kontrolle, die IPMI über einen damit ausgerüsteten Rechner gewährt, ist eine ausreichende Absicherung gegen unbefugten Zugriff erforderlich. Massenhaft über das Internet zugängliche Systeme mit fehlerhaften, unzureichend gesicherten und veralteten Implementierungen der IPMI-Schnittstelle sind ein ernsthaftes Sicherheitsproblem.
Schwachstelle CVE-2013-4786 im IPMI 2.0-Protokoll
Nun wurde Anfang Juli 2026 bekannt, dass es seit 2004 eine Schwachstelle (CVE-2013-4786, CVSS 3.x Base-Score 7.5, High) im IPMI 2.0-Protokoll gibt. Die IPMI 2.0-Spezifikation unterstützt die Authentifizierung über das RMCP+ Authenticated Key-Exchange Protocol (RAKP). Diese Schwachstelle ermöglicht es einem Angreifer remote Passwort-Hashes abzurufen. Damit ließen sich Offline-Password-Guessing-Angriffe durchführen. Dazu muss der Angreifer den HMAC aus einer RAKP-Nachricht 2-Antwort eines BMC abrufen und dann probieren.
Bleeping Computer hat die Woche in obigem Tweet und diesem Artikel und heise in diesem Beitrag auf diese Schwachstelle hingewiesen. Sicherheitsforschern von Lava haben den Sachverhalt in diesem Beitrag dokumentiert. Die Sicherheitsforscher haben 36.872 im Internet exponierte Server-Management-Schnittstellen identifiziert, auf denen IPMI läuft .
Bei den getesteten Systemen gaben 24.650 aufgrund der Schwachstelle CVE-2013-4786 im IPMI-2.0-Authentifizierungsprotokoll den bereits vor der Anmeldung aus Passwörtern abgeleiteten Authentifizierungs-Hash preis. Den Sicherheitsforschern ist es gelungen, bei mehr als 30 % der zurückgegebenen Hashes das richtige Passwort mithilfe von Wörterbüchern und vorhersehbarer Formate auf den werkseitigen Gehäuseaufklebern wiederherzustellen.
Bei Passwörtern, die gemäß den HPE iLO Factory-Vorgaben (8 Zeichen, A-Z, 0-9) erstellt wurden, brauchte ein Crack des Hash-Wertes gerade einmal 35 Sekunden. Bei Passwörtern, die nach den Supermicro-Werksangaben (10 Zeichen, A-Z) gewählt wurden, dauerte es 30 Minuten bis zum Crack. Nur lange, mit Zufallszahlen generierte und rotierte Passwörter waren nicht knackbar.
Die Sicherheitsforscher geben an, dass auch moderne Supermicro- und HPE-Server von der Sicherheitslücke betroffen waren, die von GPU-Anbietern betrieben werden. Darunter befanden sich auch Systeme, die noch immer werkseitig vergebene Passwörter verwendeten. Zudem fanden die Sicherheitsforscher Hinweise darauf, dass Server mit über das Internet zugänglichen BMC-Schnittstellen bereits gezielt angegriffen und in der Praxis ausgenutzt werden.
Um das Ausmaß der Sicherheitslücke zu veranschaulichen, haben die Sicherheitsforscher BMCRadar erstellt, eine interaktive Karte der im Rahmen dieser Untersuchung identifizierten, über das Internet zugänglichen BMC-Schnittstellen. In Deutschland wurden 3.281 im Internet exponierte Server mit der Schwachstelle gefunden.
Was können Administratoren tun?
Die Lava-Sicherheitsforscher haben betroffene Anbieter und Operatoren im Vorfeld informiert und auch Supermicro als Hersteller informiert. Ihre umfangreiche Analyse des Sachverhalts ist im verlinkten Blog-Beitrag abrufbar. Dort wird die wichtigste Abhilfemaßnahme als erstes genannt: IPMI sollte vom öffentlichen Internet aus nicht erreichbar sein. Betreiber von Servern mit BMC sollten zudem folgende Maßnahmen ergreifen:
- den UDP-Port 623 am Netzwerkrand blockieren
- werkseitig vergebene Passwörter bei der Bereitstellung ändern
- veraltete oder schwache Optionen wie IPMI 1.5, Cipher Suite 0, anonyme Konten und die NONE-Authentifizierung deaktivieren
Zudem sollte der BMC-Zugriff über ein dediziertes privates Verwaltungsnetzwerk, ein VPN, einen Bastion-Host oder einen anderen kontrollierten Verwaltungspfad beschränkt werden. Zudem sollten Administratoren Netzwerkzugriffskontrollen anwenden, damit nur zugelassene Verwaltungssysteme auf BMC-Schnittstellen zugreifen können. Weiterhin wird empfohlen, das Verwaltungsnetzwerk getrennt von den Produktions-Workloads zu überwachen. Sofern unterstützt, sollte Redfish über TLS innerhalb eines isolierten Verwaltungsnetzwerks bevorzugt werden.
Aber weder Redfish noch IPMI sollten als Protokoll direkt "dem öffentlichen Internet ausgesetzt sein" schreiben die Sicherheitsforscher. Wer einen Server mit BMC öffentlich im Internet betrieben und keine komplexen Passwörter verwendet hat, sollte diesen meiner Ansicht nach jetzt potentiell als kompromittiert ansehen.
MVP: 2013 – 2016
