Por Canuto  

Una investigación presentada en Black Hat revela miles de servidores de los principales fabricantes pueden ser comprometidos remotamente a través de vulnerabilidades en los controladores de gestión de placa base (BMC). El investigador HD Moore encontró más de una docena de fallas nuevas y confirmó que problemas de 2013 siguen activos.
***

  • Miles de servidores expuestos: Un escaneo encontró 86.000 BMC accesibles desde Internet, de los cuales más del 54% tienen vulnerabilidades críticas.
  • Vulnerabilidades variadas: Desde fallas de autenticación hasta memorias corruptibles pre-autenticación, afectando a HPE, Supermicro, Dell, Huawei y otros.
  • Herramienta de defensa: Moore lanzó OOBscan, una herramienta de código abierto para que administradores detecten estas fallas en sus flotas.

 

Una investigación presentada en la conferencia de seguridad Black Hat en Las Vegas revela que miles de servidores conectados a Internet pueden ser comprometidos de forma remota. El investigador HD Moore, CEO y fundador de la firma runZero, descubrió más de una docena de vulnerabilidades en controladores de gestión de placa base (BMC) de fabricantes como HPE, Supermicro, Avocent, Huawei, Lenovo y Dell.

Según informó Ars Technica, Moore también confirmó que algunas debilidades advertidas en 2013 siguen presentes, a pesar de los intentos de corrección. El experto describió la situación como una “superficie de ataque paralela generalizada, poco monitoreada y poco parcheada”.

¿Qué son los BMC y por qué son críticos?

Los BMC son microcontroladores integrados en las placas base de prácticamente todos los servidores empresariales. Funcionan con su propio firmware, pila de red y dirección IP, lo que les permite operar de forma independiente al sistema principal.

Los administradores los utilizan para monitorear la salud física de los servidores, reiniciar máquinas, instalar actualizaciones e incluso reinstalar sistemas operativos. Esta capacidad de gestión “fuera de banda” es esencial para operar centros de datos modernos.

Desde al menos 2013, los investigadores han señalado los riesgos asociados al protocolo IPMI, que permite a los BMC funcionar sin depender del servidor. Las vulnerabilidades en este firmware podían permitir a atacantes ejecutar código malicioso de forma remota.

El nuevo estudio demuestra que la situación no ha mejorado significativamente en más de una década. Moore encontró fallas nuevas en productos de varios proveedores y confirmó que otras antiguas siguen activas.

Los números alarmantes del escaneo

Moore supervisó dos escaneos a gran escala para cuantificar la amenaza. El primero se enfocó en BMC conectados a Internet y encontró más de 86.000 dispositivos expuestos con servicios de gestión públicos.

De esos dispositivos, más del 54% contenían una o más vulnerabilidades críticas. Hasta 75.000 de ellos seguían siendo vulnerables a CVE-2013-4786, una falla en el protocolo de autenticación IPMI 2.0 que permite el descifrado fuera de línea de contraseñas de nivel administrador.

El segundo escaneo interno, realizado sobre 126.761 BMC en redes corporativas, reveló que casi el 29% de ellos tenía al menos una vulnerabilidad crítica. Esta cifra refleja el riesgo en entornos empresariales que a menudo se consideran más seguros.

La exposición a Internet de estos controladores es particularmente peligrosa, ya que un atacante podría acceder directamente a ellos sin pasar por otros sistemas de defensa. La combinación de BMC expuestos y vulnerabilidades conocidas crea un escenario de ataque viable.

Clases de vulnerabilidades identificadas

Moore categorizó las fallas en varias clases, aunque mantiene detalles confidenciales hasta que los fabricantes puedan parchearlas. Entre ellas se incluyen fallas en el protocolo de autenticación de IPMI, que permiten omitir requisitos de autenticación.

También encontró una falla de IPMI para hacer cumplir las protecciones de integridad y cifrado en las sesiones. El dispositivo decide si autenticar y descifrar cada paquete según el encabezado del atacante, no según los algoritmos negociados.

Identificadores de sesión predecibles son otra vulnerabilidad, ya que se generan a partir de contadores o relojes en lugar de fuentes seguras de aleatoriedad. Esto permite a un atacante predecir y hacerse cargo de sesiones BMC en vivo.

También se encontraron corrupciones de memoria previas a la autenticación, accesibles a través del servicio SSH en sistemas HPE iLO. La existencia de firmware sin firmar o controlable por el atacante es otra falla crítica, así como el uso de secretos recuperables del firmware como credenciales.

El impacto de las credenciales y el firmware

El uso de credenciales predeterminadas y aleatorizadas de fábrica es un problema recurrente. En muchos casos, los dispositivos continúan usando contraseñas por defecto, y cuando se cambian, los espacios de claves pequeños las hacen recuperables en ataques de descifrado.

HPE fue el peor en este aspecto, con contraseñas de ocho dígitos o alfanuméricos. Supermicro y Dell usan valores predeterminados ligeramente más largos, lo que aumenta el costo del ataque en horas o días, dependiendo de la computación disponible.

Aunque muchas vulnerabilidades requieren autenticación, Moore señala que esa condición se puede cumplir explotando fallas previas a la autenticación. En otros casos, los atacantes pueden instalar una imagen de firmware antiguo con puerta trasera, manteniendo el control persistente.

El caso de ILObleed, descubierto en 2021, demuestra la gravedad: un implante malicioso infectó servidores HPE con firmware de borrado que destruía datos incluso después de reinstalar el sistema operativo. La vulnerabilidad ya estaba parcheada desde hacía cuatro años, pero no se había aplicado.

Herramientas de detección y defensa

Moore ha lanzado una herramienta de código abierto llamada OOBscan, que permite a los administradores escanear toda su flota de servidores para detectar la creciente lista de vulnerabilidades. Esta herramienta está disponible para uso público.

Además de usar OOBscan, los administradores pueden reducir el riesgo siguiendo varias recomendaciones. Establecer nombres de usuario largos y únicos con contraseñas complejas es el primer paso.

Deshabilitar IPMI siempre que sea posible es otra medida crucial, al igual que deshabilitar KCS para bloquear el acceso del host al BMC. También se recomienda aislar cada NIC de BMC individualmente, evitando colocarlos en una VLAN compartida.

Moore enfatiza que los BMC siguen siendo un riesgo subestimado. Su trabajo indica que el ecosistema está muy por detrás de la curva en términos de calidad de código y arquitectura.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados