Auf der Sicherheitskonferenz Black Hat in Las Vegas präsentierte HD Moore, Gründer und CEO der Sicherheitsfirma runZero, neue Erkenntnisse zu Baseboard Management Controllern (BMCs) — den kleinen, eigenständigen Rechnern, die zur Out-of-Band-Verwaltung in nahezu jedem Enterprise-Server-Mainboard stecken. Moore entdeckte mehr als ein Dutzend neue Schwachstellen in BMCs von HPE, Supermicro, Avocent, Huawei, Lenovo, Dell und anderen — und stellte fest, dass einige der Schwächen, vor denen er bereits 2013 gewarnt hatte, trotz Gegenmaßnahmen weiterhin aktiv sind.

BMCs verfügen über eigene Firmware, einen eigenen Netzwerkstack und eine eigene IP-Adresse. Administratoren nutzen sie, um Server neu zu starten, Updates zu installieren oder Betriebssysteme neu aufzusetzen — selbst wenn der Server ausgeschaltet ist. Da BMCs unterhalb des Host-Betriebssystems arbeiten, übersteht eine Kompromittierung selbst Neuinstallationen und Festplattentausch.

Zwei groß angelegte Scans beziffern das Risiko. Ein internetweiter Scan fand mehr als 86.000 BMCs, die einen Managementdienst öffentlich exponieren; über 54 Prozent davon wiesen mindestens eine kritische Schwachstelle auf. Bis zu 75.000 Geräte sind weiterhin für CVE-2013-4786 anfällig, eine Schwachstelle im IPMI-2.0-Authentifizierungsprotokoll, die das Offline-Knacken von Administratorpasswörtern ermöglicht. Ein interner Scan von 126.761 BMCs in Unternehmensnetzen ergab, dass fast 29 Prozent eine oder mehrere kritische Schwachstellen hatten.

Zu den Schwachstellenklassen gehören: Fehler im IPMI-Authentifizierungs-Handshake, die eine Umgehung der Authentifizierung erlauben (HPE iLO, Supermicro, OpenBMC sowie OpenBMC-Derivate von H3C und Nvidia); fehlende Durchsetzung von Integritäts- und Verschlüsselungsschutz innerhalb einer Sitzung, sodass unsignierte Klartext-Befehle in gesicherten Sitzungen akzeptiert werden (HPE, Supermicro, Legacy-Intel); vorhersehbare Sitzungskennungen aus Zählern oder Uhren, die Session-Übernahmen über IPMI und KVM-Konsolen ermöglichen (vor allem Supermicro); Pre-Authentication-Speicherkorruption im Management-SSH-Dienst von HPE iLO; unsignierte oder angreiferkontrollierbare Firmware für persistente Implantate (Supermicro, H3C, Dell); aus öffentlicher Firmware extrahierbare Geheimnisse, die als gültige Zugangsdaten dienen (Supermicro, OpenBMC, Huawei, Dell); sowie Standard- oder werkseitig randomisierte Zugangsdaten mit kleinen Schlüsselräumen, die über CVE-2013-4786-Hash-Offenlegung geknackt werden können (HPE am schwächsten mit achtstelligen Defaults; Supermicro und Dell etwas länger).

Viele Lücken setzen Authentifizierung voraus, doch diese Hürde lässt sich laut Moore meist durch Verkettung weniger Pre-Authentication-Lücken nehmen — oder durch das Aufspielen alter bzw. mit Backdoors versehener Firmware. Die Gefahr ist real: 2021 infizierte das Implantat ILObleed HPE-Server mit datenzerstörender Firmware, die Neuinstallationen und Festplattentausch überstand — die ausgenutzte Lücke war vier Jahre zuvor gepatcht worden, aber nie eingespielt. Im vergangenen Jahr nahm die CISA eine kritische AMI-BMC-Schwachstelle in ihren Katalog bekanntermaßen ausgenutzter Lücken auf.

Moore veröffentlichte das Open-Source-Tool OOBscan, mit dem Administratoren ihre Serverflotte auf die katalogisierten BMC-Schwachstellen prüfen können. Weitere Empfehlungen: lange, eindeutige Benutzernamen und komplexe Passwörter setzen, IPMI wo immer möglich deaktivieren, KCS deaktivieren (blockiert hostseitigen Zugriff auf den BMC) und jede BMC-Netzwerkschnittstelle einzeln isolieren statt gemeinsamer VLANs. Moores Fazit: Das BMC-Ökosystem hinkt bei Codequalität und Architektur deutlich hinterher.