[ Início ]

Mais de vinte e quatro mil (24.000) datacenters se mostram vulneráveis a uma falha de segurança de mais de vinte (20) anos de idade a qual garante aos atacantes uma maneira de obter credenciais de autenticação e ganhar acesso privilegiado aos servidores.

A metodologia evita ferramentas de segurança tradicionais, já que os controladores geralmente rodam de maneira separada em relação ao kernel do sistema operacional. A descoberta da exploração se deu por pesquisadores da Lava [1], os quais disseram ter encontrado evidências de que este tipo de ataque já foi explorado por agentes maliciosos.

A vulnerabilidade afeta o controlador BMC

Um BMC é um pequeno processador dedicado acoplado à placa mãe de um servidor. Ele opera de maneira separada em relação ao sistema operacional e processador do servidor e garante aos administradores uma maneira de monitorar remotamente e gerenciar hardware de servidor e funções como ligar, reiniciar e checar a saúde do sistema.

Tipicamente, os protocolos de comunicação utilizados para acesso do BMC são o IPMI – Internet Management Platform Interface -, um antigo protocolo para gerenciamento de hardware e o Redfish, uma nova API de gerência de servidores via HTTPS. Também, não é atípico que se acesse o servidor por meio de um console remoto – como através de Secure Shell (SSH) – ou por meio de mídias virtuais.

Por atuar numa camada mais baixa, os BMCs têm acesso extensivo ao hardware da máquina, operando fora dos limites de confiança os quais se alicerçam no kernel/Sistema operacional da máquina e, se comprometido, garantindo invisibilidade ao atacante na maioria dos casos.

A CVE-2013-4786, descoberta pela Lava, representa uma falha na autenticação do protocolo IPMI 2.0 a qual permite que o BMC envie hashses de senha para clientes não autorizados antes mesmo da conclusão do processo de login. A introdução da vulnerabilidade data 2004, tendo sua identificação e o release da CVE datadas para 2013.

A falha permite que atacantes se conectem à porta UDP 623 – padrão do IPMI – sem autenticação, obtenham o hash e desencriptem a senha do hash offline via brute force. Contrário a métodos os quais utilizam de tentativas em massa de login, que necessitam do envio consecutivo de formulários via rede entre o atacante e o servidor, a CVE permite convenientemente que o atacante não precise recorrer a tais meios, bastando que este faça uma comparação local entre hashes de palavras, tornando a tática especialmente útil para invasão de servidores com senhas fracas, reutilizadas ou previsíveis.

Milhares de sistemas vulneráveis

Por meio de uma varredura, a Lava encontrou 24.650 endpoints os quais respondiam com hashes. Desses, 6.240 aceitavam usuários vazios com senhas fracas, 2.340 tinham contas com nomes como ADMIN ou root e com senhas fracas presentes em listas de palavras comuns. Em diversas instâncias, a Lava foi capaz de encontrar as credenciais em questão de minutos. 

Yakir Kadkoda, oficial de tecnologia e cofundador da Lava, descreve a problemática como de alta gravidade devido a quão privilegiado é um ponto de controle BMC em um data center. “Ele opera de maneira independente do sistema operacional e pode prover acesso remoto à linha de comando, controle de energia, mídia virtual, gerenciamento de firmware e configuração de baixo nível “, ele asserta em comentários para a Dark Reading [2].

Adicionalmente, caso a rede seja mal segmentada ou fracamente monitorada, o acesso ao BMC poderá garantir movimento lateral do atacante no data center, abrindo espaço para comprometimento de BMCs adicionais, de sistemas de armazenamendo, de infraestrutura de provisões e serviços e de gerência interna. Em uma cloud de GPUs, por exemplo, isso também poderia acarretar na criação de caminhos para uma infraestrutura multitenant.

A vulnerabilidade é ativamente explorada

De acordo com Kadkoda, a Lava foi capaz de encontrar evidências claras de comprometimento de interfaces BMC expostas à internet: “Durante nossa pesquisa, encontramos sistemas comprometidos de uma das maiores manufatureiras de componentes automotivos mundialmente. Múltiplos servidores expostos exibiam notas de ramsomware e demandas de pagamento, evidenciando que a organização estava sob um ataque coordenado.”

A mitigação imediata que organizações podem tomar é a retirada de interfaces BMC e IPMI da internet pública. É ainda mais recomendado que sejam criadas redes de gerência para acesso às interfaces, sendo implementado um controle estrito sob os meios administrativos e substituídas credenciais de fábrica e reutilizadas e desabilitadas features legado inseguras.

Referências

[1] https://lavahq.io/research/bmc-exposure-alert#article-title

[2] https://www.darkreading.com/cyber-risk/flaw-exposes-data-centers-server-takeover