Una investigación presentada en la conferencia Black Hat de Las Vegas muestra que los Baseboard Management Controllers (BMC) — los pequeños ordenadores autónomos integrados en la placa base de casi todos los servidores empresariales para la administración fuera de banda — siguen siendo una superficie de ataque gravemente desatendida. HD Moore, fundador y CEO de la empresa de seguridad runZero, descubrió más de una docena de vulnerabilidades nuevas en BMC de HPE, Supermicro, Avocent, Huawei, Lenovo, Dell y otros, y comprobó que debilidades que ya había señalado en 2013 siguen activas pese a los intentos de corrección.

Los BMC ejecutan su propio firmware, pila de red y dirección IP, y permiten reiniciar máquinas, instalar actualizaciones o reinstalar sistemas operativos incluso con el servidor apagado. Como operan por debajo del sistema operativo anfitrión, comprometer un BMC otorga un acceso profundo y persistente que sobrevive a reinstalaciones del sistema y cambios de disco.

Dos análisis a gran escala cuantifican la exposición. Un escaneo de Internet encontró más de 86.000 BMC que exponían públicamente un servicio de administración; más del 54 % tenía al menos una vulnerabilidad crítica. Hasta 75.000 dispositivos siguen siendo vulnerables a CVE-2013-4786, un fallo en la autenticación de IPMI 2.0 que permite el craqueo offline de contraseñas de administrador. Un análisis interno de 126.761 BMC en redes corporativas reveló que casi el 29 % presentaba una o más vulnerabilidades críticas.

Las clases de vulnerabilidades identificadas incluyen: fallos en el handshake de autenticación IPMI que permiten eludir la autenticación (HPE iLO, Supermicro, OpenBMC y derivados de OpenBMC de H3C y Nvidia); ausencia de aplicación de integridad y cifrado durante la sesión, de modo que se aceptan comandos sin firmar y sin cifrar en sesiones seguras (HPE, Supermicro, Intel heredado); identificadores de sesión predecibles generados a partir de contadores o relojes, que permiten secuestrar sesiones mediante IPMI y consolas KVM (sobre todo Supermicro); corrupción de memoria preautenticación en el servicio SSH de administración de HPE iLO; firmware sin firmar o controlable por el atacante para implantes persistentes (Supermicro, H3C, Dell); secretos extraíbles de firmware público utilizables como credenciales válidas (Supermicro, OpenBMC, Huawei, Dell); y credenciales por defecto o aleatorias de fábrica con espacios de claves pequeños, craqueables mediante CVE-2013-4786 (HPE el peor, con contraseñas de ocho caracteres; Supermicro y Dell algo más largas).

Muchas vulnerabilidades requieren autenticación, pero esa barrera suele superarse encadenando un número reducido de fallos preautenticación, o instalando firmware antiguo o con backdoor una vez obtenido un acceso limitado. La amenaza no es teórica: en 2021, el implante ILObleed infectó servidores HPE con firmware destructor de datos que persistía tras reinstalaciones del sistema y cambios de discos — el fallo explotado llevaba parcheado cuatro años, pero el parche nunca se aplicó. El año pasado, la CISA añadió una vulnerabilidad crítica de un BMC de AMI a su catálogo de vulnerabilidades conocidamente explotadas.

Moore publicó una herramienta de código abierto llamada OOBscan, con la que los administradores pueden analizar toda su flota de servidores para detectar las vulnerabilidades BMC catalogadas. Otras recomendaciones: usar nombres de usuario largos y únicos con contraseñas complejas, desactivar IPMI siempre que sea posible, desactivar KCS (para bloquear el acceso al BMC desde el anfitrión) y aislar individualmente cada interfaz de red BMC en lugar de compartir VLAN. La conclusión de Moore: el ecosistema de los BMC va muy retrasado en calidad de código y arquitectura.