Lavaの研究者は、13年前のIPMIの欠陥に対して脆弱なベースボード管理コントローラーが3万6000台以上インターネットに露出していることを発見しました。これにより攻撃者はOSの下層へ侵入する経路を得ることになります。
エンタープライズサーバーのOSの下に広がる「無法地帯」が、悪意ある攻撃者の新たな標的になりつつあります。
データセンターセキュリティ企業のLavaによると、攻撃者はほとんど保護されておらず、数十年前のプロトコルを今なお稼働させ、13年前に公表された脆弱性の影響を受けやすいベースボード管理コントローラー(BMC)を悪用し、より広範なデータセンター環境への足がかりを得ているといいます。
Lavaのレッドチームの研究者は、物理的なアクセスを必要とせずサーバーをアウトオブバンドでリモート制御できるBMCへの侵入を、単純なパスワードを推測するだけで数分のうちに実現できたといいます。SupermicroとHPEのサーバー上のBMCが、特に大きな影響を受けていました。
「BMCは重要インフラを制御していますが、管理対象のシステムに比べて監視や保護がはるかに手薄になりがちです」と、Lavaのセキュリティ研究責任者であるMichael Katchinskiy氏はブログ記事で説明しています。「ほとんどのセキュリティツールはOS、カーネル、コンテナ、ワークロードを監視対象としています」
しかし、BMCはその信頼境界の外側で動作していると同氏は指摘し、「攻撃者にホストの下層を制御する力を与える一方で、それを保護するために設計されたツールからはほぼ見えない状態になっています」と述べています。
攻撃者がBMCの弱点をどう悪用するか
「ベースボード」という名前が示す通り、BMCはサーバープラットフォームに組み込まれた専用のマイクロコントローラーで、ホストシステムの主要なCPU、メモリ、OSとは独立して動作します。これにより管理者は、サーバーのアウトオブバンド管理やトラブルシューティング、ファームウェアの更新、設定変更、ハードウェアセンサーの読み取りなどを行えるようになります。
「実際のところ、BMCはデータセンターの中でも最も強力な権限を持つ制御ポイントの1つです」とKatchinskiy氏は指摘します。
しかし、BMCは22年前から存在するアウトオブバンドのIPMI、より新しいHTTPSベースのRedfish、ブラウザベースの管理インターフェース、リモートコンソール機能といった管理プレーンを露出させる可能性があります。多くの場合、これらは同じデータベース、さらには同じ認証情報を共有しています。
現在の攻撃を可能にしている元凶は、2013年に公表されたIPMI 2.0認証プロトコルの脆弱性で、CVE-2013-4786として追跡されています。
Lavaの研究者は、パブリックインターネットからアクセス可能で、なおIPMIを露出させたままの状態にあるBMCを36,872台発見しました。そのうち66%(24,650台)は認証ハッシュを漏らしていました。これは、保存され後に認証に使われるパスワードのスクランブル版で、攻撃者はこれをオフラインで取得し、解析して元のパスワードを復元できます。
研究者たちが一般的なワードリストを使ってハッシュを検証したところ、30%以上のハッシュが「使い回された、工場出荷時のまま、あるいは予測可能な形式」のパスワードに関連付けられていることが判明しました。これらの一致は数分で、しかも多くの場合最初の試行で発見されています。さらに、BMCの約17%はユーザー名フィールドを空欄にしたまま弱いパスワードでのアクセスを許可していました。
興味深いことに、データセンターやGPUインフラ、ホスティング環境で広く利用されているSupermicro製品は、応答のあったBMCの半数以上を占めていましたが、その認証情報は研究者のワードリスト内のパスワードとは一致しませんでした。
研究者たちはこれを「予想通り」の結果だとしています。というのも、Supermicroは2019年に、影響を受けた製品の共有管理者パスワードを、シャーシのラベルに印字された10桁の大文字から成る、製品ごとに固有の工場出荷時パスワードに置き換えていたためです。
研究者たちはこの調査結果を影響を受けた各所とSupermicroに報告し、Supermicroは今後のハードウェア改訂に向けてデフォルトのパスワードポリシーの改善を検討する意向を示しました。Lavaによると、Supermicroはその後この露出問題を修正済みだといいます。
Lavaはまた、発見したインターネット露出BMCのインタラクティブなマップも作成しています。
この攻撃手法が危険な理由
BMCは多くのセキュリティ製品が監視する層より一段下に位置し、管理者権限の認証情報が使い回されがちな共有アウトオブバンド管理ネットワーク上に存在します。そのため、BMCやその他のプラットフォームハードウェアに加えられた悪意ある変更は、OSの再インストールやディスク交換、標準的なインシデント対応手順を経てもなお生き残ってしまう、とKatchinskiy氏は指摘します。
このリスクはネオクラウドやGPUクラウド環境で「特に顕著」だと同氏は述べています。AIインフラは、共有ストレージ、高速インターコネクト、マルチテナントツールを備えた共有管理ネットワーク上で、数千基のGPUにまたがることがあります。
同氏は、顧客が自分専用の占有サーバーを借りている場合であっても、そのサーバーは依然として、プロビジョニングサービスやオーケストレーションサービス、認証情報ストア、管理ツールが多数の他の顧客と共有されるインフラにまたがる、プロバイダー管理下の共有アウトオブバンドネットワークに接続されていると指摘します。
つまり、リスクは単一のサーバーにとどまらず、攻撃者はデータセンターインフラのより広範な部分に到達するための足がかりを得られる可能性がある、と同氏は述べています。
調査対象となった環境において、BMC管理ネットワークは「効果的なセグメンテーション、アクセス制御、監視を欠いていた」とKatchinskiy氏は言います。「そのため、1台の侵害されたBMCが、他のサーバーや重要インフラ、顧客のワークロードへと至る経路になり得ます」
BMCが見過ごされがちな理由
ITチームやセキュリティチームが、脆弱ではあるものの脅威アクターには悪用できないと判断し、パッチが適用されないハードウェアやソフトウェアツールの例は「数え切れないほどある」と、Beauceron SecurityのDavid Shipley氏は指摘します。例えば、サーバーやソフトウェアがエアギャップ環境、つまりネットワークやインターネットに接続されていない状態にあれば安全だ、という考え方が広く信じられています。
「見過ごされているとすれば、それはおそらく、複数のチームの間にある奇妙な隙間にBMCが位置しているからでしょう」と同氏は述べています。BMCはネットワーキングの領域に厳密には属さず、OSが起動する前から存在するため、システム管理者の管轄下にもありません。
そのため、アクセスを得ることは「非常に簡単」だとShipley氏は指摘し、攻撃者は理論上「あらゆる厄介なこと」を実行できるとしています。
例えば、デバイスの電源を切ることで、企業のサーバーをシャットダウンさせることができます。第二に、「再イメージングして独自のOSを動かす」ことでサーバーの制御を奪える可能性もありますが、これはかなり早い段階で検知されるはずだと同氏は指摘します。第三に、攻撃者はそこに居座り続けることができます。
「攻撃者にネットワーク上に住み着く場所を与え、脆弱性として悪用できる他の穴を探す余地を与えることになります」とShipley氏は述べています。
「シンプルな解決策」
Katchinskiy氏によれば、この問題には「シンプルな」解決策があります。それは、IPMIとRedfishを決してパブリックインターネットに公開しないことです。
攻撃者をBMCから締め出すために、防御側は次を実施すべきです。
- 工場出荷時のパスワードを変更する
- BMCへのアクセスを専用のプライベート管理ネットワーク、VPN、またはその他の制御された経路に限定する
- 承認された管理者のみがBMCインターフェースに到達できるよう、ネットワークアクセス制御を適用する
- IPMI 1.5、匿名アカウント、さらに悪いことにパスワードや秘密情報、ログインを求めずにアクセス権やトークンを付与する認証といった「レガシーまたは脆弱な」オプションを無効化する
- 管理ネットワークと本番ワークロードを別々に監視する
そしてKatchinskiy氏は、「組織は管理レイヤーを重要なセキュリティ境界として扱わなければなりません。隔離し、パブリックへの露出をなくし、工場出荷時の認証情報をローテーションし、継続的に監視することが必要です」と強調しています。
