データセンターセキュリティ企業のLavaが、ベースボード管理コントローラ（BMC）管理プロセッサに存在する22年前からの脆弱性により、数千のデータセンターが侵害のリスクに晒されていると報告しました。
ほとんどのサーバープラットフォームに搭載されているBMCは、OSが正常に動作していない状態でもサーバー管理操作を可能にするもので、データセンター内では最も高い権限を持つ制御ポイントの一つとなっています。
管理者はBMCを通じて、ホストの電源再投入、ファームウェアの更新、低レベルのプラットフォーム構成変更、ハードウェアセンサーの読み取りなどを、IPMIアウトオブバンドプロトコル、RedfishのHTTPSベース管理API、Webベースの管理インターフェースといった複数の管理サーフェスを使って実行できます。
「多くの実装では、これらのインターフェースが同一のユーザーデータベースを共有しています。IPMIで機能する認証情報は、WebインターフェースやRedfish APIでも機能する可能性があります。これが重大な理由は、IPMI認証プロセスがオフラインでのパスワード解析を可能にする情報を漏洩し得るためです」とLavaは指摘しています。
同社によると、インターネットに露出しているサーバー管理インターフェースのうち、IPMIプロトコルを稼働させているものは約37,000件に上り、そのうち24,000件超がログイン前にパスワード由来の認証ハッシュを開示していたということです。
この問題の核心にあるのは、2004年にIPMI 2.0認証プロトコルに組み込まれたCVE-2013-4786です。この脆弱性により、攻撃者は「BMCからRAKPメッセージ2レスポンスのHMACを取得する」ことでパスワードハッシュを入手し、オフラインで解析できてしまいます。NISTのアドバイザリにはそう記載されています。
「認証処理中、BMCはアカウントのパスワードとリクエスト側が把握しているセッション値を用いて計算されたHMAC-SHA1認証コードを返すことがあります。UDPポート623にアクセスできる未認証の第三者は、このレスポンスを要求し、パスワードの推測をオフラインで検証できてしまいます」とLavaは説明しています。
攻撃者はこの脆弱性を悪用することで、オンラインでの繰り返しログイン試行のように候補ごとに新規リクエストを送信することなく、脆弱・使い回し・デフォルトのままのパスワードを復元できてしまいます。
さらに深刻なことに、Lavaは6,240台のホストが空のユーザー名と脆弱なパスワードの組み合わせを受け入れていたこと、また2,340台がAdminやrootといった名前付きアカウントを使用しており、そのパスワードが公開されているワードリストによく見られるものだったことも発見しました。
同社によると、一般的なパスワードに加えて、一部のBMCでは工場出荷時に設定される、パターンが限定的で予測可能なパスワード形式が使われていたということです。
「この脆弱性は、データセンターの管理プレーンに存在するより広範なセキュリティ上のギャップを浮き彫りにしています。BMCは重要なインフラを制御する存在でありながら、自身が管理する対象のシステムに比べて監視や保護がはるかに手薄になっていることが少なくありません。現代のGPUを用いたクラッキング技術と予測可能な工場出荷時パスワードが組み合わさることで、この脆弱性はたった一つの露出したBMCを、管理ネットワーク全体にまたがる、検知が困難な特権的な足がかりに変えてしまう可能性があります」とLavaは述べています。
