インターネットに公開されているサーバー管理コントローラー、約24,000台が、20年以上前から存在する欠陥の影響を受けることが分かりました。攻撃者はこの欠陥を利用して認証情報を解読し、配下のサーバーへ特権アクセスを獲得できます。
この問題は従来型のセキュリティツールをすり抜けてしまいます。これらの管理コントローラーはサーバーのオペレーティングシステムやカーネル、コンテナ、ワークロードから独立して動作するため、それらのレイヤーではほぼ検知できないからです。
Lavaの研究者は、インターネットに公開されているベースボード管理コントローラー(BMC)を対象に脆弱性を調査する中でこの欠陥を発見し、この問題が実際の攻撃で悪用された証拠も確認したとしています。
高い権限を持つインターフェース
BMCとは、サーバーのマザーボードに組み込まれた小型の専用プロセッサです。サーバーのメインプロセッサやオペレーティングシステムとは独立して動作し、管理者がサーバーのハードウェアや機能をリモートで監視・管理できるようにします。再起動や電源のオン・オフ、システムの健全性チェックなどが可能です。管理者はOSがダウンしていたり、サーバーが応答不能に陥っていたりする場合でも、このコンソールにアクセスできます。
管理者は通常、リモートハードウェア管理向けの古いプロトコルであるIntelligent Platform Management Interface(IPMI)や、HTTPS経由でサーバーハードウェアを管理する新しいAPIであるRedfish、そしてWebベースの管理インターフェースを通じてBMCにアクセスします。サーバープラットフォームによっては、リモートコンソールや仮想メディア機能を使ってサーバー画面へリモートアクセスしたり、ストレージメディアを接続したりすることも可能です。
BMCはOSより下位のレイヤーで動作するため、配下のハードウェアに対して広範なアクセス権を持っています。「BMCが侵害されると、防御側はきわめて厳しい立場に置かれます」とLavaの研究者Michael Katchinskiy氏は記しています。「ほとんどのセキュリティツールはオペレーティングシステム、カーネル、コンテナ、ワークロードを監視対象としています。BMCはその信頼境界の外側で動作するため、攻撃者はホストの下層を制御できる一方で、それを保護するために設計されたツールからはほぼ見えない状態になります」
Lavaが発見した問題はCVE-2013-4786に関するものです。これはIPMI 2.0認証プロトコルの欠陥で、ログイン処理が完了する前に、未認証のクライアントに対してBMCがパスワード由来の認証ハッシュを返してしまうというものです。この欠陥は2004年のIPMI 2.0リリース時に混入したものですが、公表されてCVEが割り当てられたのは2013年になってからでした。
攻撃者は、IPMIが使用する標準ポートであるUDPポート623に認証なしでアクセスできれば、このハッシュを取得し、オフラインでブルートフォース攻撃を試みてパスワードを割り出すことができます。Katchinskiy氏によると、「オンラインでのログイン試行を繰り返す場合とは異なり、この手法ではパスワード候補ごとにBMCへ新たなリクエストを送る必要がありません」。これにより、脆弱なパスワードや使い回されたパスワード、工場出荷時のデフォルトパスワード、予測可能な形式のパスワードの解読にとりわけ有効になるといいます。
脆弱性の可能性がある数千台のシステム
Lavaのスキャンでは、24,650台のBMCエンドポイントがパスワード由来の認証情報を返しており、攻撃者がこれを悪用してオフラインでパスワードを推測できる可能性があることが判明しました。このうち6,240台は空のユーザー名と脆弱なパスワードの組み合わせを受け付けており、2,340台はADMINやrootといった名前付きアカウントを使用し、そのパスワードが一般的なワードリストと一致していました。Lavaは多くの場合、数分でパスワードを特定できたとしています。研究者はまた、一般的なワードリストには含まれていないデフォルトパスワードの一部(Supermicro製BMCで使用されているものを含む)についても、予測可能な形式に従っていたため解読できる可能性があったとしています。
Lavaの最高技術責任者(CTO)兼共同創業者であるYakir Kadkoda氏は、BMCがデータセンター内で最も高い権限を持つ制御ポイントの一つであることから、この問題を深刻なものと位置付けています。「BMCはオペレーティングシステムから独立して動作し、リモートコンソールアクセス、電源制御、仮想メディア、ファームウェア管理、低レベルの設定変更などを可能にします」とDark Readingへのコメントで述べています。
現実的な攻撃シナリオでは、攻撃者は脆弱または予測可能なBMCパスワードを解読して公開サーバーへの初期アクセスを獲得し、それを足がかりにデータセンターのアウトオブバンド管理ネットワークを横方向に移動して、他のサーバーや管理システムを侵害する可能性があります。「これらのネットワークはセグメント分割が不十分で監視も手薄なことが多いため、攻撃者は他のBMCやストレージシステム、プロビジョニング基盤、内部の管理サービスにまで到達できる可能性があります。GPUクラウドの場合、共有インフラやマルチテナントインフラへの侵入経路が生まれることもあります」と同氏は警告しています。
名前を伏せられたメーカーが被害に
最悪のシナリオでは、攻撃者はデータセンターの管理プレーン内部で高い権限を持つ足場を獲得し、そこからサーバーをリモートで制御したり、低レベルの設定を変更したり、ファームウェアに干渉したり、ストレージや内部システムにアクセスしたり、ランサムウェアを展開したり、長期間にわたって検知を逃れたりする可能性があるとKadkoda氏は述べています。「復旧にはファームウェアの再書き込み、プラットフォームレベルの検証、ベンダー支援による修復、あるいはハードウェア交換までもが必要になる場合があります」
Kadkoda氏によると、Lavaはインターネットに公開されたBMCインターフェースが攻撃者によって侵害された明確な証拠を発見しています。「調査の過程で、世界最大級の自動車部品メーカーの一つに属する侵害済みシステムを特定しました。複数の公開サーバーにランサムウェアのメッセージと身代金要求が表示されており、同社が進行中の攻撃キャンペーンの標的にされていたことがうかがえます」
別の事例では、Lavaは身代金要求メッセージが表示された、外部に公開されたHPE製BMCを発見しており、これにより権限のない第三者が管理インターフェースへのアクセスを獲得していたことが確認されました。
組織がリスクを軽減するためにすぐに取れる対策は、BMCおよびIPMIインターフェースを公開インターネットから切り離すことです。ただし、それだけでは不十分だと同氏は注意を促しています。「組織はBMCを専用の管理ネットワーク上に隔離し、厳格に制御された管理経路のみを通じてアクセスを制限し、工場出荷時のパスワードや使い回されている認証情報を置き換え、安全性の低いレガシー機能を無効化し、アウトオブバンドネットワークを継続的に監視すべきです」
翻訳元: https://www.darkreading.com/cyber-risk/flaw-exposes-data-centers-server-takeover
