Résumé

  • Le 6 mai, Lava a compté 36 872 adresses publiques répondant en IPMI; ce nombre ne correspond ni à des centres de données, ni à des serveurs, ni à des clients.
  • Parmi elles, 24 650, soit 66,9 %, ont renvoyé au moins une réponse RAKP dérivée d’un mot de passe avant l’authentification du client.
  • Une identité vide a permis une correspondance avec un candidat faible sur 6 240 points; un compte nommé a correspondu à un mot de passe courant sur 2 340 autres.
  • Les chercheurs ont retrouvé le mot de passe au format usine de deux systèmes Supermicro modernes chez un fournisseur GPU non nommé, sans ouvrir de session; l’opérateur a ensuite corrigé l’exposition.
  • La faiblesse RAKP est publique depuis 2013; l’information nouvelle porte sur la présence actuelle d’interfaces d’administration sur l’internet.
  • La réponse prioritaire consiste à retirer IPMI du réseau public, filtrer UDP 623, isoler le BMC, renouveler les identifiants et surveiller ce plan séparément.

Une vulnérabilité ancienne change la question de responsabilité

Lorsqu’une faille vient d’être révélée, l’exploitant peut encore attendre une analyse, un correctif ou une consigne précise du fournisseur. CVE-2013-4786 a été publié en juillet 2013. Il explique que l’échange RAKP d’IPMI 2.0 remet, dans son deuxième message, un HMAC calculé à partir du mot de passe. Ce matériel peut être emporté puis comparé à des candidats hors ligne.

L’étude de Lava, publiée le 29 juillet 2026, n’annonce donc pas une cryptanalyse inconnue. Elle demande si une interface qui conserve ce comportement historique est encore accessible à n’importe quelle adresse du réseau public. La réponse donnée par la mesure du 6 mai est assez large pour devenir une question de fonctionnement, pas une curiosité de laboratoire.

Cette chronologie déplace la responsabilité. Le protocole fixe ce que le contrôleur révèle. Le constructeur choisit ses valeurs initiales et documente des protections. L’intégrateur et l’exploitant décident du routage, des listes d’accès et de la rotation des secrets. Treize années de connaissance publique rendent difficile l’idée que l’isolement serait une réaction exceptionnelle réservée à 2026.

Il reste une incertitude légitime: un relevé extérieur ne dit pas pourquoi chaque adresse était ouverte, combien de temps elle l’est restée ni qui la possédait. Il prouve toutefois que le premier paquet a traversé la frontière et que le BMC a commencé l’échange.

Le BMC n’est pas un service ordinaire

Le contrôleur de gestion de carte mère est utile précisément parce qu’il ne dépend pas du système d’exploitation principal. Même si celui-ci ne démarre plus, un administrateur peut mettre la machine sous tension, observer sa console, monter un support virtuel ou intervenir sur le micrologiciel.

Cette autonomie transforme la topologie de sécurité. L’agent installé dans l’OS, ses comptes, son pare-feu local et ses journaux peuvent tous être sains alors que la voie d’administration sous-jacente obéit à un autre réseau et à d’autres identifiants. Une entreprise peut protéger la porte de l’application tout en laissant ouverte celle qui contrôle l’alimentation et le clavier.

Dans un centre de données ou chez un hébergeur, le BMC traverse aussi plusieurs responsabilités. Le constructeur fournit la fonction et un identifiant initial. L’intégrateur crée le réseau de gestion. L’opérateur en autorise les sources. Un client peut recevoir un accès délégué. La gouvernance doit désigner qui ferme la route après l’installation et qui vérifie qu’elle ne réapparaît pas lors d’une maintenance.

La bonne unité d’analyse n’est donc pas « le serveur vulnérable » pris isolément. C’est la chaîne qui relie une interface privilégiée, un chemin réseau, une politique d’accès, un secret et une capacité de détection.

36 872 adresses ne font pas 36 872 centres de données

Le premier nombre de Lava est celui de points IPMI publics uniques observés à un instant donné. Une adresse peut être réattribuée, disparaître ou représenter une architecture différente de celle qu’imagine l’observateur. Elle n’offre aucun dénominateur fiable sur le nombre de bâtiments, d’exploitants, de clients ou même de serveurs physiques.

Le deuxième nombre, 24 650, décrit un comportement du protocole: au moins une réponse RAKP a été obtenue avant que le client prouve son identité. Cette réponse contient de quoi vérifier des hypothèses hors ligne. Elle n’est ni le mot de passe en clair, ni une connexion réussie, ni une action non autorisée.

Entre l’adresse publique et la compromission existent plusieurs états: réponse, candidat concordant, secret récupéré, identifiant encore valide, session ouverte, contrôle exercé. L’étude quantifie certaines étapes et refuse d’en franchir d’autres. Les chercheurs disent expressément qu’ils ne se sont pas authentifiés avec les deux mots de passe de format usine qu’ils avaient retrouvés.

Confondre ces dénominateurs créerait deux erreurs contraires. L’une gonflerait le résultat jusqu’à parler de dizaines de milliers d’intrusions. L’autre minimiserait le problème sous prétexte qu’aucune session n’a été ouverte. Le fait utile se situe entre les deux: l’internet pouvait demander à un plan d’administration de produire une matière exploitable pour le devinage.

Les mots faibles et les formats d’usine ne racontent pas la même chose

Lava distingue 6 240 points où une identité vide a produit une correspondance avec un candidat faible et 2 340 où un compte nommé a correspondu à une liste de mots de passe courants. Ce sont deux conditions de compte, avec leurs propres ensembles de candidats. Elles ne justifient pas une formule globale selon laquelle une proportion indifférenciée de tous les « hashes » aurait été cassée.

Un identifiant usine unique répond à une autre menace: il évite qu’un secret partagé comme ADMIN ouvre de nombreuses machines. Supermicro indique que, depuis novembre 2019, les systèmes concernés sont livrés avec un mot de passe BMC unique préprogrammé. C’est un progrès réel, mais l’unicité ne mesure pas l’entropie.

Si le format autorise un espace de recherche réduit, une réponse RAKP exposée peut encore être testée hors ligne. Lava rapporte avoir retrouvé le format documenté à dix lettres majuscules sur deux systèmes Supermicro X13DEM récents chez un fournisseur de GPU resté anonyme. Les chercheurs n’ont pas tenté de connexion et l’opérateur a, selon eux, corrigé l’accès après divulgation.

Le cas HPE sert à mesurer un coût en laboratoire. Lava affirme qu’une recherche complète du format usine documenté à huit caractères pour iLO prenait environ 32 secondes par réponse capturée sur huit GPU RTX 6000 PRO. Cela ne signifie pas que tous les équipements HPE utilisent ce format, soient publics ou aient fait l’objet d’une récupération réelle.

La concentration Supermicro n’est pas un taux de défaut

Plus de la moitié des BMC ayant répondu dans l’ensemble de données étaient associés à du matériel Supermicro. Ce ratio décrit la composition des réponses vues par la méthode de Lava. Sans connaître la base installée du constructeur, la distribution des modèles et la manière dont chaque opérateur route ses interfaces, on ne peut pas en faire un pourcentage de parc vulnérable.

Le résultat a néanmoins une valeur pour les constructeurs. Des mots de passe plus longs, un espace de format plus vaste, des micrologiciels actuels et des consignes explicites réduisent le risque. Supermicro a d’ailleurs rappelé la séparation par VLAN, les contrôles d’accès et l’absence d’exposition publique, et Lava indique que l’entreprise étudie des formats de mot de passe plus étendus.

La décision finale de rendre une adresse joignable appartient toutefois au déploiement. Un bon identifiant initial ne remplace pas un pare-feu. Un pare-feu ne remplace pas la rotation du secret. Une rotation ne remplace pas les journaux. Attribuer toute la situation à un fabricant ferait disparaître les contrôles que l’exploitant peut appliquer immédiatement.

La mesure devrait donc ouvrir un inventaire interne, pas un classement public improvisé. Chaque opérateur possède le seul dénominateur qui compte pour son risque: ses actifs, ses interfaces, ses règles et ses propriétaires.

Le contrôle principal est une frontière, pas un nouveau logo de protocole

Le guide de sécurité BMC de Supermicro dit que le contrôleur ne doit pas être exposé à l’internet ni à des utilisateurs non autorisés au-delà d’un pare-feu. Il recommande de bloquer UDP 623 sur les réseaux non sûrs, d’autoriser des adresses connues, d’utiliser un VLAN de gestion distinct et de protéger le sous-réseau.

Cette architecture met fin à l’occasion de deviner avant même d’évaluer la force du mot de passe. L’administrateur doit rejoindre le plan privé par un VPN maîtrisé ou un bastion, puis satisfaire l’authentification du contrôleur. Plusieurs contrôles indépendants se dressent ainsi entre l’internet et la console.

La rotation des secrets, la suppression des comptes inutiles et la mise à jour du micrologiciel restent nécessaires. Ils traitent ce qui se passe une fois la bonne frontière atteinte. Ils ne transforment pas une interface publique en choix prudent.

Redfish sur TLS peut améliorer le transport et l’administration moderne, mais il ne doit pas devenir un nouveau service public par simple changement de nom. La recommandation est de l’utiliser à l’intérieur du réseau de gestion isolé. Le chiffrement protège la conversation; il ne choisit pas ses interlocuteurs.

La surveillance doit survivre à la machine qu’elle protège

Le plan d’administration mérite ses propres journaux, alertes et flux réseau. Une modification de configuration, une tentative de connexion ou une action sur le micrologiciel ne doit pas dépendre uniquement de la télémétrie de l’OS hôte, puisque le BMC est conçu pour agir lorsque cet OS est absent.

L’inventaire doit relier le serveur physique, l’adresse du contrôleur, le propriétaire opérationnel et la règle de pare-feu. Sans cette correspondance, une interface provisoire ouverte pour la mise en service peut survivre à un changement d’équipe ou de client. La dette de configuration devient alors invisible jusqu’au prochain balayage externe.

Une nouvelle mesure comparable pourrait indiquer si l’exposition diminue après la divulgation. Elle devrait distinguer les adresses qui disparaissent, celles qui changent et celles qui répondent encore. Pour démontrer une attaque, il faudrait un autre type de preuve: sessions authentifiées, actions non autorisées, journaux ou incidents confirmés.

Le signal de Lava n’est pas celui de 24 650 victimes. C’est celui de 24 650 réponses qu’un plan de gestion privilégié n’aurait pas dû offrir à un réseau non fiable. La gouvernance commence par rendre cette conversation impossible.

Sources