攻撃者がサーバーのベースボード管理コントローラー(BMC)のUDPポート623にアクセスすると、ログインする前にパスワードハッシュを要求し、それを受け取ることができてしまいます。この動作は、2004年に導入された認証プロトコルをベースとするIPMI 2.0のハンドシェイクの一部です。
このコントローラーはOS(オペレーティングシステム)よりも下位の層で動作しています。ホストの電源を制御し、仮想メディアをマウントし、リモートコンソールを開き、ファームウェアを書き換えることもできます。ホスト側のセキュリティツールが監視しているのは、あくまでその上位の層にすぎません。
BMC Webインターフェースの例(出典:Lava)
Lavaの研究者らがShodanを使って調査したところ、36,872台のこうしたコントローラーがインターネット上から応答を返すことが確認されました。そのうち24,650台は、クライアントが認証を完了する前にパスワード由来の認証情報を返していました。この脆弱性にはすでに名前が付いており、発見から10年が経過しています。CVE-2013-4786です。
3分の2がハッシュを流出
この応答には、アカウントのパスワードと、リクエスト側がすでに保持しているセッション値をもとに計算されたHMAC-SHA1コードが含まれています。パスワードの推測作業は、その後攻撃者側のハードウェア上でオフラインで進められます。BMCへの1回のリクエストだけで、あらゆるパスワード候補を試せる情報が手に入ってしまうのです。ログイン失敗の繰り返しを検知する仕組みでは、こうした攻撃を捕捉できません。
取得されたハッシュのうち約3分の1は、公開されているワードリストや、予測可能な工場出荷時のパターンから復元可能と評価されました。2,340のエンドポイントでは、ADMINやrootといった名前付きアカウントが、誰でもダウンロードできるワードリストに載っているパスワードと一致していました。その多くは最初の試行で、しかも数分以内に破られています。
公開されていたホストのおよそ6台に1台は、ユーザー名が空の状態でも応答を返しており、その先には脆弱なパスワードが控えていました。
工場出荷時の固有パスワードも解読可能
今回のデータセットで応答したBMCの大半をSupermicro製ハードウェアが占めていました。同社のサーバーは、データセンターやホスティング環境、GPUインフラで広く使われています。同社は数年前、カリフォルニア州のSB-327法への対応として、共通のADMINパスワードを使う方式から脱却しました。ただし、ユーザー名はADMINのまま残り、パスワードは筐体に貼られたシールに記載される方式へと変わりました。
Supermicro自身の仕様書には、そのフォーマットが明確に規定されています。工場出荷時にプリセットされるパスワードは「英大文字のみで構成された正確に10文字の文字列」になるとされています。
これにより候補数はおよそ141兆通りになります。GPU8基を使ってHashcatを稼働させれば、この候補空間全体を1時間程度で総当たりできると試算されています。
Lavaの研究者らは、インターネットに接続されたシステムへのテストを許可する公開ポリシーを持つ米国のベアメタルGPUプロバイダーで、隣接する2つのアドレスを対象にテストを実施しました。どちらも現行のX13DEMボードを搭載しており、両方のパスワードとも筐体シールのフォーマットと一致する形で復元できました。研究者らは復元できた時点でテストを止め、同日中に報告を行い、プロバイダー側もこの露出を解消しました。
HPEのiLOでは、英大文字と数字を組み合わせた、より短い工場出荷時パスワードが使われており、こちらも鍵空間はそれなりに小さいものです。市販のハードウェアでも十分な速度で解読できます。RTX 6000 PROを8基搭載したラボ用サーバーでは、取得した応答1件あたり32秒で解読できました。
Lavaのラボにあるサーバーに貼られた、工場出荷時のHPE iLO認証情報ラベル
すでに侵入されていた形跡
公開されていたiLO 4のログインページの一つには、セキュリティ通知欄に身代金要求のメッセージが表示されていました。サーバーのデータをRSA-2048で暗号化したと主張し、使い捨てのメールアドレスを通じて0.3BTCの支払いを要求する内容でした。実際にディスク上のデータが暗号化されていたかどうかは未確認ですが、何者かが管理インターフェースにアクセスし、表示内容を書き換えたことは確かです。
iLO 4のファームウェアに常駐するルートキット「iLOBleed」については、これまでの調査ですでに報告されており、サーバーを破壊する攻撃との関連も指摘されています。
Lavaの最高技術責任者(CTO)を務めるYakir Kadkoda氏は次のように述べています。「各組織はこれまで、クラウドワークロードやOSの堅牢化に長年取り組んできましたが、その下に存在するインフラの多くが見過ごされてきました。これらの管理コントローラーは、サーバーやデータセンターへの鍵を握る存在です。ひとたび侵害されれば、攻撃者はほとんどのセキュリティツールの目が届かない場所で活動でき、システムを再構築した後も持続的に居座り続け、重要インフラのさらに奥深くへ侵入する可能性もあります。AIインフラが急速に拡大する中、この層のセキュリティ確保はこれまで以上に急務となっています」
Supermicro、より長いパスワードの導入を検討へ
Lavaは6月にSupermicroへ通知しました。同社は、現在のマルチGPUによる解読能力を踏まえればこのシナリオが起こり得ることを認め、顧客に対してセットアップ時にBMCの初期パスワードを変更するよう改めて呼びかけるとともに、管理用VLANやアクセス制御リストの活用を運用担当者に推奨しました。また同社は、今後のハードウェア改訂版において、より長いパスワードやより広範な文字セットの採用を含め、初期パスワードポリシーを見直す方針も明らかにしました。
ポートを塞ぐ
対処すべきはネットワーク側の設定です。境界でUDPポート623をブロックしてください。導入時に工場出荷時の認証情報を変更し、IPMI 1.5、暗号スイート0、匿名アカウント、NONE認証を無効化してください。BMCへのアクセスは、専用の管理ネットワークやVPN、踏み台ホストの背後に配置すべきです。TLS経由のRedfishであれば通常の管理作業をカバーできますが、これも隔離された管理ネットワーク上に置く必要があります。IPMIが外部に露出している限り、そこにあるハッシュは、要求してきた誰にでも渡されてしまう状態のままなのです。
翻訳元: https://www.helpnetsecurity.com/2026/07/28/exposed-bmc-ipmi-vulnerability-research/
