Resumen
- El escaneo del 6 de mayo encontró 36.872 direcciones públicas con IPMI; no es un censo de centros de datos, máquinas, empresas ni clientes.
- Un total de 24.650, el 66,9%, devolvió al menos una respuesta RAKP derivada de una contraseña antes de autenticar al cliente.
- Hubo 6.240 coincidencias de candidato débil con usuario vacío y 2.340 coincidencias de contraseña común con cuentas identificadas.
- En dos sistemas Supermicro X13DEM modernos de un proveedor de GPU no identificado se recuperó el formato de fábrica, pero Lava no inició sesión y el operador corrigió la exposición.
- CVE-2013-4786 documenta el mecanismo desde 2013; la novedad es cuántas interfaces públicas seguían ofreciéndolo en 2026.
- La prioridad es cortar el primer eslabón: retirar IPMI de internet, filtrar UDP 623, aislar la gestión, cambiar credenciales y vigilarla aparte.
Primer eslabón: una dirección responde, pero no describe un centro de datos
Lava contó 36.872 puntos IPMI públicos únicos en una observación del 6 de mayo. El dato dice que una dirección permitió llegar al servicio en ese momento. No dice cuántos edificios había detrás, cuántos servidores pertenecían a cada operador ni cuánto tiempo continuó la configuración.
Las direcciones públicas son un denominador móvil. Pueden reasignarse, desaparecer, compartir infraestructura o representar equipos de distinta escala. Tampoco identifican por sí solas a un cliente. Convertir 36.872 direcciones en 36.872 centros de datos daría al estudio una precisión física y comercial que su método no posee.
La utilidad del número es otra: define la superficie exterior desde la que empieza el riesgo. Cada punto observado estaba lo bastante expuesto como para contestar al protocolo de gestión. La cuestión siguiente no es quién fue víctima, sino qué entregó el controlador antes de saber quién preguntaba.
Para un operador, este primer eslabón es el más barato de romper. Una interfaz sin ruta pública no participa en el escaneo externo, aunque mantenga el mismo firmware y la misma función dentro de una red administrativa protegida.
Segundo eslabón: la respuesta RAKP permite probar sin conexión
IPMI 2.0 utiliza el protocolo RAKP durante la autenticación. CVE-2013-4786 explica que el segundo mensaje puede incluir un HMAC derivado de la contraseña. Quien lo obtiene no necesita enviar cada candidato de vuelta al BMC: puede compararlos fuera de línea, sin que el dispositivo limite el ritmo de cada ensayo.
Lava recibió al menos una respuesta de ese tipo en 24.650 puntos, un 66,9% de los medidos. La cifra cuantifica una oportunidad de verificación. No significa que la respuesta contenga la contraseña legible ni que un candidato concreto haya funcionado en todos esos casos.
La diferencia operativa es importante. Un bloqueo tras varios intentos en línea protege poco si la parte costosa de la prueba ocurre en otro equipo. El defensor conserva una ventaja más sólida si una red no autorizada no puede obtener el material inicial.
La vulnerabilidad subyacente fue publicada en julio de 2013. El evento de 2026 no es una nueva debilidad criptográfica, sino la comprobación de que el intercambio antiguo continúa accesible en una superficie pública contemporánea.
Tercer eslabón: una coincidencia tiene una cuenta y un diccionario concretos
La investigación separa dos grupos. En 6.240 puntos, un nombre de usuario vacío produjo material compatible con un candidato de contraseña débil. En 2.340, una cuenta con nombre coincidió con una palabra de una lista común. Las condiciones no son idénticas y los conjuntos de búsqueda tampoco.
Sumar ambos resultados en una frase sobre «el porcentaje de hashes crackeados» borraría la cuenta utilizada, el método y el denominador. Además, una coincidencia criptográfica no demuestra por sí misma que la credencial siga activa, que tenga el máximo privilegio o que alguien la haya empleado.
El lenguaje de riesgo necesita conservar estas estaciones: respuesta obtenida, candidato coincidente y credencial recuperada. Solo después vendrían autenticación, acción administrativa e intrusión. La medición aporta evidencia de las primeras y no afirma haber recorrido las últimas.
Esa disciplina no reduce la gravedad. Al contrario, permite actuar sobre un mecanismo probado sin inventar víctimas. Un operador no necesita esperar a encontrar un acceso ilícito para cerrar una interfaz que entrega material verificable a Internet.
Cuarto eslabón: único no siempre significa difícil de buscar
El uso de contraseñas de fábrica únicas corrige el peligro de un secreto compartido. Supermicro indica que desde noviembre de 2019 los sistemas afectados salen con una clave BMC preprogramada distinta, en lugar del valor común ADMIN. La pérdida de una credencial ya no abre automáticamente todas las unidades.
Pero hay dos propiedades diferentes: que una contraseña sea única y que su espacio de posibilidades sea grande. Si el formato es predecible, una respuesta RAKP puede contrastarse contra todo ese espacio. La unicidad limita el alcance horizontal; la entropía determina el coste de recuperar una unidad.
Lava dice que recuperó el formato documentado de diez letras mayúsculas en dos sistemas Supermicro X13DEM modernos pertenecientes a un proveedor de GPU no identificado. No intentó autenticarse. Comunicó el problema y afirma que el operador corrigió la exposición. Son dos equipos comprobados, no una generalización sobre todos los modelos ni clientes.
Para HPE, el dato procede de un laboratorio. La búsqueda completa del formato iLO documentado de ocho caracteres tomó alrededor de 32 segundos por respuesta capturada usando ocho GPU RTX 6000 PRO. Esa prueba mide un coste bajo una configuración concreta; no demuestra que todos los HPE estén expuestos, usen ese formato o hayan sido atacados.
Quinto eslabón: el BMC está debajo del sistema que solemos defender
El controlador de gestión de placa funciona con independencia del sistema operativo. Permite encender y apagar, ver consola, montar medios virtuales y administrar firmware cuando el host está caído. Esa autonomía hace posible la recuperación remota y también crea un plano privilegiado separado.
Un antivirus dentro del servidor no necesariamente ve una solicitud que llega a la interfaz del BMC. Las cuentas del sistema operativo no son las cuentas de gestión. Incluso la telemetría del host puede desaparecer mientras el controlador sigue funcionando. Proteger solo la capa superior deja fuera la herramienta que puede modificarla.
En centros de datos y servicios de hosting, el límite atraviesa contratos y equipos. El fabricante entrega el controlador y su política inicial. El integrador conecta el puerto. El operador decide la VLAN y el firewall. Un cliente puede recibir consola remota. Si nadie conserva la responsabilidad de extremo a extremo, una ruta temporal de instalación puede convertirse en exposición permanente.
Por eso la cadena no termina en «cambie la contraseña». La superficie pública, el secreto, el privilegio y la observación son controles separados. Cada uno puede fallar aunque los demás parezcan correctos.
Sexto eslabón: la concentración por marca no asigna toda la responsabilidad
Más de la mitad de los BMC que respondieron en el conjunto de Lava correspondía a hardware Supermicro. Es una proporción dentro de las respuestas del escaneo, no una tasa de vulnerabilidad de la base instalada. Faltan el número total de equipos desplegados, su mezcla de modelos y la política de red de cada propietario.
El fabricante sí controla aspectos relevantes: tamaño y formato de la clave inicial, firmware, opciones de autenticación y claridad de la guía. Supermicro reconoce en su manual que el hash RAKP estándar es débil y recomienda no exponer el BMC, bloquear UDP 623 en redes inseguras, permitir fuentes conocidas y separar una VLAN de gestión.
El operador controla otras capas. Decide si la dirección se anuncia o enruta, qué firewall se aplica, cuándo se cambia el secreto y qué alertas se reciben. Un integrador puede configurar esos elementos por encargo. Repartir la responsabilidad no significa diluirla, sino asociar cada decisión con quien tiene capacidad real de cambiarla.
El resultado tampoco permite concluir que una marca ausente sea segura. Un inventario interno tiene un denominador mejor que cualquier escaneo mundial: todos los BMC que la propia organización posee o administra.
Romper la cadena antes del login
La defensa más eficaz es impedir que un origen público llegue al intercambio. IPMI debe residir en una red de gestión separada, protegida por firewall, listas de direcciones autorizadas y un acceso controlado mediante VPN o bastión. Bloquear UDP 623 en el perímetro elimina la vía observada en redes no confiables.
Después vienen las credenciales: rotar claves de fábrica, retirar cuentas innecesarias, deshabilitar mecanismos antiguos cuando el equipo lo permita y actualizar firmware. Son capas obligatorias, pero no justifican mantener la consola a la vista de internet.
Redfish sobre TLS puede ofrecer una interfaz moderna y cifrada dentro del mismo entorno aislado. TLS protege el tránsito; no convierte una superficie pública en una red administrativa. Cambiar de protocolo sin cambiar el alcance deja sin resolver quién puede tocar la puerta.
La vigilancia debe ser independiente del host. Los intentos de autenticación, cambios de configuración, acciones de firmware y flujos de red del BMC necesitan registros y alertas propios. Si la consola controla la máquina, la máquina no puede ser el único testigo de lo que hace la consola.
Un próximo estudio comparable debería medir persistencia después de la divulgación y distinguir la rotación de direcciones. Para afirmar explotación harían falta sesiones, órdenes ejecutadas o incidentes confirmados. La investigación actual no los aporta. Su conclusión suficiente es más operativa: la cadena empezó demasiadas veces en una frontera donde no debería haber empezado.