Thought Leadership
Mehr als 24.000 öffentlich erreichbare Server-Verwaltungscontroller geben Passwort-Hashes über eine 20 Jahre alte Schwachstelle preis.
Mehr als 24.000 öffentlich aus dem Internet erreichbare Server geben laut einer Analyse des Sicherheitsunternehmens Lava Authentifizierungs-Passworthashes preis. Ursache ist eine rund 20 Jahre alte Schwachstelle in der Schnittstelle des Baseboard Management Controllers, kurz BMC, dem Verwaltungsprozessor auf der Hauptplatine eines Servers. Über den BMC können Administratoren einen Server unabhängig vom eigentlichen Betriebssystem aus der Ferne steuern, etwa um ihn ein oder auszuschalten, Firmware zu aktualisieren oder virtuelle Datenträger einzubinden.
Die betroffenen Systeme sind anfällig für CVE-2013-4786, eine Authentifizierungsschwäche im Protokoll IPMI 2.0, das bereits im Jahr 2004 eingeführt wurde. Die Schwachstelle erlaubt es Angreifern, eine Authentifizierungsantwort anzufordern, die sich anschließend offline mit dedizierten GPU-Systemen auf das zugrunde liegende Passwort zurückrechnen lässt.
Zugriff auf den BMC kann ganze Umgebungen gefährden
Zugriff auf einen BMC verschafft Angreifern nach Einschätzung der Forscher Kontrolle über den physischen Server selbst. Sie können damit Low-Level-Konfigurationen verändern, bösartige Firmware-Updates einspielen und das System auf einer Ebene kompromittieren, die von klassischen Sicherheitslösungen nicht überwacht wird. Nach Angaben der Lava-Forscher lassen sich wiederhergestellte Zugangsdaten in der Praxis häufig auch für andere Verwaltungsschnittstellen innerhalb derselben Umgebung nutzen. Ein einzelner kompromittierter BMC könne so zum Ausgangspunkt für den Zugriff auf die gesamte Verwaltungsebene werden. Besonders kritisch sehen die Forscher die Lage in KI-Umgebungen mit unzureichend segmentierter Infrastruktur, in denen ein Angriff mehrere Kunden gleichzeitig betreffen könnte. Dazu erklärten die Lava-Forscher:
„Ein physischer GPU-Server kann über Virtualisierung, GPU-Partitionierung oder andere Mechanismen mehrere Mandanten oder Workloads gleichzeitig unterstützen. In solchen Umgebungen kann die Kompromittierung eines einzelnen physischen Servers mehrere Kunden-Workloads stören oder offenlegen.“
Sicherheitsunternehmen Lava
Zehntausende Systeme mit schwachen oder leeren Zugangsdaten
Für ihre Untersuchung suchten die Forscher gezielt nach öffentlich erreichbaren IPMI-Diensten über den UDP-Port 623 und fanden dabei 36.872 aus dem Internet erreichbare Systeme. Bei 24.650 davon ließ sich Authentifizierungsmaterial abgreifen, aus dem sich Passwörter offline errechnen lassen. Bei 6.240 dieser Systeme akzeptierte die Anmeldung sogar einen leeren Benutzernamen, wobei anschließende Tests zusätzlich schwache Passwörter bestätigten. Bei 2.340 weiteren Instanzen stimmten die verwendeten Administratorpasswörter mit öffentlich bekannten Wörterbüchern überein, was sie besonders leicht angreifbar macht.
Auf einer von den Forschern erstellten Übersichtskarte liegen die USA mit 39 Prozent der verwundbaren Server an der Spitze. Ein Großteil der gefundenen, öffentlich erreichbaren BMCs stammt den Angaben zufolge von Supermicro-Systemen, die durch ein zehnstelliges, auf dem Gehäuse aufgedrucktes Passwort in Großbuchstaben mit dem in allen Fällen identischen Benutzernamen ADMIN geschützt sind. Dieses Format biete zwar theoretisch ausreichend Spielraum, seine eingeschränkte Struktur mache das Offline-Knacken jedoch weiterhin praktikabel. Zum Vergleich schätzen die Forscher, dass sich ein werksseitiges HPE-Passwort auf einem Apple-M3-System in etwa einem Tag pro abgefangener Authentifizierungsantwort zurückrechnen lässt.
Erpressungshinweis auf offen erreichbarem System entdeckt
Während ihrer Untersuchung stießen die Lava-Forscher auf eine aus dem Internet erreichbare Anmeldeseite eines HPE-iLO-4-Systems, auf der ein Erpressungshinweis mit der Forderung nach 0,3 Bitcoin angezeigt wurde. Dies belegt zwar keine breit angelegte Ausnutzung der Schwachstelle, zeigt aber nach Einschätzung der Forscher, dass zumindest vereinzelt bereits bösartige Aktivität stattfindet.
Die Forscher informierten Supermicro bereits im Juni. Das Unternehmen bestätigte demnach das Risiko, verwies jedoch auf seine bestehenden Empfehlungen für Administratoren, wonach werkseitige BMC-Passwörter geändert und Verwaltungsnetzwerke isoliert werden sollten. Für künftige Hardware-Generationen wolle man strengere Standardpasswort-Richtlinien prüfen. HPE wurde ebenfalls informiert, reagierte laut Lava jedoch lediglich mit einer automatischen Empfangsbestätigung, ohne dass sich das Sicherheitsteam des Herstellers in der Folge meldete.
Die Forscher empfehlen Administratoren, die Protokolle IPMI und Redfish nicht aus dem öffentlichen Internet erreichbar zu machen, werkseitige BMC-Passwörter zu ändern, den Zugriff auf isolierte Verwaltungsnetzwerke zu beschränken und die veraltete IPMI-Authentifizierung zu deaktivieren.
(red)
