IT-Forscher haben über eine 20 Jahre alte Sicherheitslücke in der Server-Fernwartung Zugriff auf tausende Server in Rechenzentren erhalten können. IT-Verantwortliche sollten ihre Systeme überprüfen und gegebenenfalls Gegenmaßnahmen ergreifen – die Systeme können auch ohne Absicht im Netz erreichbar sein.
Die IT-Sicherheitsforscher von Lava HQ haben eine Analyse der Verbreitung der Schwachstelle in der Firmware des Baseboard Management Controllers (BMC) vieler auch aktueller Server-Mainboards veröffentlicht. Das BMC läuft getrennt vom Betriebssytem direkt auf dem Motherboard und ermöglicht die Fernwartung der Hardware ohne physischen Zugang – selbst dann, wenn der eigentliche Server nicht arbeitet.
Im verwendeten IPMI-Protokoll aus dem Jahr 2004 wurde im Jahr 2013 eine Schwachstelle mit dem Codenamen „Cipher-0“ bekannt, durch die sich die Authentifizierung von IPMI-2.0 umgehen lässt. Die Passwörter lassen sich aus den beim RMCP+ Authenticated Key-Exchange Protocol (RAKP) verwendeten Hashes etwa mit hashcat wieder rekonstruieren (CVE-2013-4786, CVSS 7.5, Risiko „hoch“).
Wie die Analysten schreiben, haben sie beim Scan des Internets insgesamt 36.872 Server-Management-Interfaces aufgespürt, die das IPMI-Protokoll sprechen. Von denen lieferten 24.650 vom Passwort abgeleitete Hashes zurück, die sich dann sogar offline knacken lassen. Den IT-Forschern zufolge lassen sich 30 Prozent der zurückgelieferten Hashes mit Passwörtern in Verbindung bringen, die mit üblichen Wortlisten oder vorhersagbaren werksseitigen Werten sich wiederherstellen lassen. Sie haben zudem Belege dafür gefunden, dass einige der im Internet erreichbaren BMC-Schnittstellen bereits erfolgreich angegriffen wurden. So zeigte ein HPE iLO-4-System eine Ransomware-Nachricht an. Es sind auch moderne Supermicro- und HPE-Server betroffen, wie sie Anbieter von GPU-Rechenzeit nutzen, zudem gehören Systeme dazu, die noch die werksseitigen Standardpasswörter nutzen.
Unbeabsichtigte Freigabe des BMC
Das BMC lauscht im Regelfall auf einer eigenen Netzwerkbuchse auf dem Mainboard, damit Admins diese gezielt an ein Verwaltungs-VLAN anbinden können. Die Mainboards vieler Server enthalten jedoch eine Fallback-Automatik. Wenn der separate Fernwartungsport nicht genutzt wird, meldet sich das BMC stattdessen auf einer der anderen Onboard-Netzwerkschnittstellen. Dafür kommt eine eigene MAC-Adresse zum Einsatz, die über DHCP eine eigene IP-Adresse erhält. Da der Zugriff oftmals mit unveränderten Standardzugangsdaten wie „admin/admin“ „gesichert“ ist, stellt das ein Sicherheitsrisiko dar, schrieb die c’t bereits im Jahr 2017. So kommt es vermutlich, dass zahlreiche Serversysteme unbeabsichtigt ein aus dem Internet erreichbares BMC haben. Die Option kann auch nach BIOS-Updates wieder aktiviert werden, etwa beim Rücksetzen der Werte auf die Standards dabei. Admins sollten ihre eigenen Netze daher unbedingt darauf überprüfen.
An der Netzwerkgrenze sollte mittels Firewall der UDP-Port 623 blockiert und beim Einrichten der Systeme die werksseitigen Zugänge geändert werden. Veraltete oder schwache Optionen wie IMPI 1.5, Cipher Suite 0, anonyme Konten und die „None“-Authentifizierung sollten Admins deaktivierten. BMC-Zugriff sollte zudem auf dedizierte private Verwaltungsnetze oder zumindest auf ein VPN beschränkt werden. Die Überwachung des Verwaltungsnetzwerks sollte losgelöst von anderne Produktivsystemen erfolgen. Als für Internetzugriffe offen erkannte Systeme sollten IT-Verantwortliche als kompromittiert betrachten und von Grund auf neu aufsetzen.
(dmk)
English (US) ·