Luki w BMC narażają tysiące serwerów na zdalne ataki backdoor

Tysiące serwerów podłączonych do internetu od głównych producentów jest narażonych na zdalne ataki backdoor z powodu krytycznych błędów w kontrolerach zarządzania płytą główną, wynika z badań zaprezentowanych na konferencji bezpieczeństwa Black Hat 5 sierpnia 2026 r. Luki, niektóre mające ponad dziesięć lat, pozwalają atakującym uzyskać głęboki, trwały dostęp do centrów danych.

Kontrolery zarządzania płytą główną, czyli BMC, to miniaturowe komputery wbudowane w płyty główne serwerów, które mają własne oprogramowanie układowe i stos sieciowy, umożliwiając administratorom zdalne zarządzanie serwerami nawet gdy są wyłączone. Badacze ostrzegają co najmniej od 2013 r., że BMC stanowią główny cel dla hakerów, ale nowe ustalenia pokazują, że wiele luk pozostaje niezałatanych.

HD Moore, dyrektor generalny i założyciel firmy bezpieczeństwa runZero, odkrył ponad kilkanaście nowych luk w BMC od HPE, Supermicro, Avocent, Huawei, Lenovo, Dell i innych. Znalazł również, że niektóre słabości, które wskazał w 2013 r., są nadal aktywne mimo prób napraw. Moore powiedział, że efektem jest wszechobecna, słabo monitorowana powierzchnia ataku, która jest zarówno wystawiona na internet, jak i szeroko rozpowszechniona w sieciach korporacyjnych.

Aby określić skalę zagrożenia, Moore przeprowadził dwa skany na dużą skalę. Zewnętrzny skan znalazł ponad 86 000 BMC wystawiających usługę zarządzania publicznie, z czego ponad 54% zawierało jedną lub więcej krytycznych luk. Aż 75 000 pozostawało podatnych na CVE-2013-4786, błąd w protokole uwierzytelniania IPMI 2.0, który umożliwia łamanie haseł offline. Wewnętrzny skan 126 761 BMC wykazał, że prawie 29% miało krytyczne luki.

Nowo odkryte klasy błędów obejmują luki w uzgadnianiu uwierzytelniania IPMI, które omijają uwierzytelnianie, brak egzekwowania integralności i szyfrowania w sesji, przewidywalne identyfikatory sesji, uszkodzenia pamięci przed uwierzytelnieniem w usłudze SSH, niepodpisane lub sterowane przez atakującego oprogramowanie układowe oraz sekrety odzyskiwalne z oprogramowania układowego używane jako aktywne poświadczenia. Dotknięci producenci to HPE, Supermicro, Intel, OpenBMC, Nvidia, H3C, Dell i Huawei.

Moore opublikował narzędzie open source o nazwie OOBscan, aby pomóc administratorom wykrywać luki. Podkreślił, że BMC pozostają niedocenianym ryzykiem, a ekosystem pozostaje w tyle pod względem jakości kodu i architektury. Wcześniejsze incydenty, takie jak implant ILObleed w 2021 r. i alert CISA dotyczący luki w BMC AMI w zeszłym roku, podkreślają realne niebezpieczeństwo tych ataków.