20年前の欠陥により2万4000台超のサーバBMCがパスワードハッシュを漏洩

2万4000台を超えるインターネット公開サーバが、ベースボード管理コントローラ(BMC)インターフェースに存在する20年来の脆弱性により、認証用パスワードハッシュを漏洩させています。

研究者は少なくともこのうち3分の1について、辞書攻撃と工場出荷時ステッカーのデフォルト認証情報のパターンを組み合わせることで、正しいパスワードを割り出すことに成功しました。

これらの公開サーバは、2004年に導入されたプロトコルに起因するIPMI 2.0の認証上の弱点である CVE-2013-4786 の影響を受けます。

この脆弱性を悪用すると、攻撃者は認証応答を要求できるようになり、それを専用のGPUリグなどの環境でオフライン解析することでパスワードを解読できてしまいます。

BMCとサーバのリスク

BMCはサーバのマザーボードに組み込まれたプロセッサで、管理者がオペレーティングシステムとは独立してシステムを遠隔管理できるようにするものです。電源のオン/オフ、ファームウェアの更新、仮想メディアのマウントといった低レベルの操作をサポートしています。

BMCへのアクセス権を奪われると、攻撃者は物理サーバを制御下に置き、低レベルの設定を変更したり、悪意あるファームウェアアップデートを適用したりできるようになります。しかもこれはセキュリティ製品による監視が及ばない層での侵害となります。

サイバーセキュリティ・インフラ企業の Lava の研究者によると、実環境では復元された認証情報が同一環境内の複数の管理インターフェースで使い回されているケースがあり、1台のBMCが侵害されるだけで、より広範な管理基盤への足がかりになりうるといいます。

セグメンテーションが不十分なAI環境では、攻撃者が複数のテナントに同時に影響を及ぼす可能性もあります。

「物理GPUサーバは、仮想化やGPUパーティショニング、その他の共有メカニズムを通じて、複数のテナントやワークロードをサポートしていることがあります」とLavaの研究者は述べています。

「そうした環境では、1台の物理サーバの侵害が、複数の顧客ワークロードの中断や情報漏洩につながりかねません」

大規模な露出状況

研究者らがUDPポート623で公開アクセス可能なIPMIサービスを調査したところ、3万6872台のインターネット公開ホストが見つかりました。このうち2万4650台が、オフラインでのパスワード解読攻撃に利用可能なパスワード由来の認証マテリアルを公開していました。

Lavaの研究者によると、そのうち6240台のホストは認証時に空のユーザー名を受け付けており、その後のテストでこれらも脆弱なパスワードで保護されていることが確認されたとのことです。

また2340件は、公開されている辞書と一致する脆弱な管理者パスワードを使用しており、極めて容易に突破可能な状態でした。

BleepingComputerが確認したライブの露出マップでは、脆弱なサーバのうち39%を占める米国が最多となっています。

Lavaの研究者は、インターネット上で発見された多数のBMCがSupermicro製システムであり、いずれも筐体のラベルに印字された10文字の大文字パスワードで保護されていて、ユーザー名はすべてのケースで「ADMIN」だったと指摘しています。

この形式は理論上は十分な強度の余地があるはずですが、その構造上の制約により、オフライン解析が実際に有効であると研究者らは主張しています。

比較として、研究者はApple M3システムを使用した場合、HPEの工場出荷時パスワードを1件の取得済み応答(IPMIハンドシェイク時に取得される認証応答)あたり約1日で復元できると見積もっています。

不審な活動と対応

Lavaによると、今回の調査中に、0.3BTCの支払いを要求する身代金要求メッセージが表示されたインターネット公開状態のHPE iLO 4ログインページを発見したとのことです。

これは広範な悪用活動の証拠、あるいは攻撃が成功した証拠とまでは言えませんが、少なくとも一部で悪意ある活動が進行中であることを示しています。

研究者らは6月にSupermicroへ通報しました。同社はリスクを認めた一方で、管理者向けの公式ガイダンスとしては、デフォルトのBMCパスワードを変更し、管理ネットワークを分離することを推奨していると述べています。

ただし同社は、今後のハードウェア改訂版においてより強固なデフォルトパスワードポリシーの導入を検討するとしています。

LavaはHPEにも通報しましたが、定型の自動返信メッセージが返ってきただけで、同社のセキュリティチームからのフォローアップはありませんでした。

研究者らは、IPMIとRedfishをパブリックインターネットに公開しないこと、工場出荷時のBMCパスワードを変更すること、アクセスを分離された管理ネットワークに限定すること、そして旧来のIPMI認証を無効化することを推奨しています。