Des recherches présentées à la conférence Black Hat de Las Vegas montrent que les Baseboard Management Controllers (BMC) — ces petits ordinateurs autonomes intégrés à la carte mère de quasiment tous les serveurs d'entreprise pour l'administration hors bande — restent une surface d'attaque très négligée. HD Moore, fondateur et PDG de la société de sécurité runZero, a découvert plus d'une douzaine de nouvelles vulnérabilités dans les BMC de HPE, Supermicro, Avocent, Huawei, Lenovo, Dell et d'autres, et constaté que certaines faiblesses signalées dès 2013 restent actives malgré les correctifs tentés.

Les BMC disposent de leur propre firmware, de leur pile réseau et de leur adresse IP. Ils permettent de redémarrer des machines, de déployer des mises à jour ou de réinstaller des systèmes d'exploitation même lorsque le serveur est éteint. Comme ils opèrent sous le système hôte, compromettre un BMC offre un accès profond et persistant qui survit aux réinstallations et aux remplacements de disques.

Deux analyses à grande échelle quantifient l'exposition. Un scan d'Internet a recensé plus de 86 000 BMC exposant publiquement un service d'administration ; plus de 54 % présentaient au moins une vulnérabilité critique. Jusqu'à 75 000 appareils restent vulnérables à CVE-2013-4786, une faille du protocole d'authentification IPMI 2.0 permettant le cassage hors ligne des mots de passe administrateur. Un scan interne de 126 761 BMC dans des réseaux d'entreprise a révélé que près de 29 % présentaient une ou plusieurs vulnérabilités critiques.

Les classes de vulnérabilités identifiées comprennent : des failles dans la poignée de main d'authentification IPMI permettant de contourner l'authentification (HPE iLO, Supermicro, OpenBMC et dérivés OpenBMC de H3C et Nvidia) ; l'absence d'application de l'intégrité et du chiffrement en cours de session, des commandes non signées en clair étant acceptées dans des sessions sécurisées (HPE, Supermicro, Intel hérité) ; des identifiants de session prévisibles générés à partir de compteurs ou d'horloges, permettant la prise de contrôle de sessions via IPMI et les consoles KVM (surtout Supermicro) ; une corruption mémoire pré-authentification dans le service SSH d'administration de HPE iLO ; des firmwares non signés ou contrôlables par un attaquant pour des implants persistants (Supermicro, H3C, Dell) ; des secrets extractibles de firmwares publics utilisables comme identifiants (Supermicro, OpenBMC, Huawei, Dell) ; et des identifiants par défaut ou aléatoires d'usine à faible espace de clés, cassables via CVE-2013-4786 (HPE le plus faible avec des mots de passe de huit caractères ; Supermicro et Dell légèrement plus longs).

Beaucoup de failles exigent une authentification, mais cette barrière tombe généralement en chaînant un petit nombre de failles pré-authentification, ou en installant un firmware ancien ou backdooré une fois un accès limité obtenu. La menace n'est pas théorique : en 2021, l'implant ILObleed a infecté des serveurs HPE avec un firmware destructeur de données qui survivait aux réinstallations et aux changements de disques — la faille exploitée était corrigée depuis quatre ans, mais le patch n'avait jamais été appliqué. L'an dernier, la CISA a ajouté une vulnérabilité critique d'un BMC AMI à son catalogue des vulnérabilités connues comme exploitées.

Moore a publié un outil open source baptisé OOBscan, permettant aux administrateurs d'analyser leur parc de serveurs pour détecter les vulnérabilités BMC recensées. Ses autres recommandations : utiliser des noms d'utilisateur longs et uniques et des mots de passe complexes, désactiver IPMI dès que possible, désactiver KCS (pour bloquer l'accès au BMC depuis l'hôte) et isoler individuellement chaque interface réseau BMC plutôt que de partager des VLAN. Sa conclusion : l'écosystème BMC accuse un retard considérable en qualité de code et en architecture.