Resumo

  • A varredura de 6 de maio contou 36.872 endpoints IPMI públicos; endereço não é sinônimo de data center, servidor, operador ou cliente.
  • Em 24.650 endpoints, ou 66,9%, houve ao menos uma resposta RAKP derivada de senha antes de o cliente se autenticar.
  • A Lava encontrou 6.240 correspondências de candidato fraco com usuário vazio e 2.340 correspondências de senha comum em contas nomeadas.
  • Dois sistemas Supermicro X13DEM modernos em um provedor de GPU não identificado tiveram o formato de fábrica recuperado; não houve login e o operador corrigiu a exposição.
  • O mecanismo está documentado no CVE-2013-4786 desde 2013; o fato novo é sua presença em interfaces públicas medidas em 2026.
  • O controle principal é tirar IPMI da internet, bloquear UDP 623, separar a rede de gestão, trocar credenciais e monitorar o BMC fora do host.

O BMC compra uma segunda rota de operação

Quando o sistema operacional trava, o BMC continua funcionando. A equipe pode reiniciar a máquina, abrir o console, anexar uma imagem de instalação ou atualizar firmware sem estar fisicamente diante do rack. Para um data center, essa rota reduz deslocamento e tempo de indisponibilidade.

Ela também cria uma segunda superfície de custo. Há outra interface a inventariar, outra credencial a manter, outra rede a segmentar e outro conjunto de eventos a observar. Se a organização administra dez mil servidores, não comprou apenas dez mil processadores: comprou também milhares de controladores que precisam de dono operacional.

O benefício remoto só existe com uma fronteira clara. Deixar o controlador em endereço público transforma uma ferramenta de recuperação em um serviço que qualquer origem pode consultar. O host pode estar atualizado, com EDR e firewall corretos, enquanto o andar inferior segue por uma rede e uma identidade diferentes.

Essa separação explica por que a exposição é economicamente relevante mesmo sem prova de invasão. Corrigir depois exige descobrir ativos, localizar responsáveis, alterar regras, coordenar janelas e validar clientes. Projetar a rede privada desde a implantação é mais barato do que reconstruir a fronteira sob pressão.

36.872 mede alcance, não frota

A primeira cifra é uma fotografia de endereços públicos IPMI em 6 de maio. Um endereço pode ser retirado, reassociado ou representar uma arquitetura que a pesquisa externa não consegue enxergar. Não há correspondência segura com número de prédios, empresas ou equipamentos físicos.

Por isso, 36.872 não é o tamanho mundial da frota exposta durante todo o ano. É o conjunto único que respondeu à metodologia naquele momento. Sem o total de BMCs implantados, não existe taxa global de exposição. Sem persistência, não existe duração média.

Essa limitação não elimina o sinal. Para cada resposta, o caminho externo estava aberto o bastante para iniciar IPMI. A equipe interna pode trabalhar com um denominador melhor: todos os controladores registrados no inventário, comparados com todas as regras de roteamento e firewall.

O valor da pesquisa é obrigar essa reconciliação. Uma empresa que não sabe quantos BMCs possui tampouco consegue provar que nenhum deles ficou na rua depois de uma instalação, troca de cliente ou manutenção emergencial.

24.650 mede uma oportunidade de cálculo, não um login

O RAKP do IPMI 2.0 pode fornecer, antes da autenticação do cliente, um HMAC derivado da senha. O CVE-2013-4786 registra desde 2013 que esse material permite testar candidatos offline. O controlador participa uma vez; o restante do trabalho ocorre em outra máquina.

A Lava obteve pelo menos uma resposta desse tipo em 24.650 endpoints, 66,9% da amostra pública. A resposta não revela texto puro. Também não mostra que houve candidato vencedor em todos os casos, nem que alguém abriu console ou mudou firmware.

Há uma escada entre as etapas: endpoint alcançável, resposta prévia, candidato compatível, credencial recuperada, sessão autenticada e comprometimento. Cada degrau pede evidência própria. A pesquisa mediu os primeiros e, em testes limitados, alcançou a recuperação; deliberadamente não executou login.

Chamar a cifra de “senhas quebradas” elimina essa escada. Chamar de irrelevante porque não houve acesso também erra: o operador entregou a parte que transfere a tentativa para um ambiente sem os limites e alertas do BMC.

Senha única reduz contágio, mas formato curto reduz custo

Desde novembro de 2019, a Supermicro informa que sistemas novos afetados recebem uma senha BMC única pré-programada, no lugar do padrão compartilhado ADMIN. Essa mudança evita que um único segredo conhecido se repita por uma frota.

Unicidade e espaço de busca, porém, resolvem problemas diferentes. Uma senha pode ser exclusiva de uma máquina e ainda pertencer a um formato previsível. Nesse caso, cada unidade exige uma busca própria, mas o custo dessa busca pode continuar baixo se o material RAKP estiver disponível.

Em dois Supermicro X13DEM modernos de um provedor de GPU não identificado, a Lava diz ter recuperado o formato documentado de dez letras maiúsculas. Não se autenticou, avisou o operador e relata que a exposição foi corrigida. A conclusão pertence a dois sistemas; não autoriza inferência sobre toda a linha, todos os clientes ou todos os provedores de GPU.

O número da HPE foi produzido em laboratório. Uma busca completa do formato iLO documentado de oito caracteres levou cerca de 32 segundos por resposta capturada em oito GPU RTX 6000 PRO. É um teste de custo para um formato e hardware específicos, não uma contagem de equipamentos HPE atacados na internet.

Os dois grupos de correspondência precisam de duas colunas

A Lava relata 6.240 endpoints em que um nome de usuário vazio forneceu material compatível com um candidato fraco. Em outros 2.340, havia uma conta nomeada compatível com uma lista de senhas comuns. A condição da conta muda, assim como o conjunto testado.

Esses números não devem virar uma porcentagem genérica de “hashes crackeados”. Uma linha de relatório operacional deveria registrar, no mínimo, endpoint, tipo de conta, conjunto de candidatos, resultado, validade confirmada e qualquer uso observado. As últimas colunas permanecem vazias quando a pesquisa não faz login.

Esse nível de separação melhora a correção. Uma conta vazia pode apontar para configuração ou implementação que precisa ser eliminada. Uma conta nomeada com palavra comum pede rotação e política de senha. Um formato de fábrica restrito pede mudança de desenho do fabricante e rotação do operador.

Misturar os três mecanismos produz uma mensagem de medo; separá-los produz uma fila de trabalho.

A participação da Supermicro não é taxa de falha

Mais da metade dos BMCs que responderam no conjunto de dados usava hardware Supermicro. O denominador é “respostas observadas pela Lava”, não a base instalada mundial da marca. Não há informação suficiente sobre modelos, total implantado ou comportamento das redes dos clientes para calcular uma taxa de defeito.

O fabricante controla o formato inicial, as opções do firmware e a clareza do manual. Seu próprio guia diz que o BMC não deve ficar exposto à internet nem a usuários não autorizados fora de um firewall, reconhece a fraqueza do hash RAKP padrão e recomenda bloquear UDP 623 em redes inseguras.

O operador controla o anúncio e a rota do endereço, a VLAN, a lista de origens, a troca da senha e a resposta aos alertas. O integrador pode montar essas camadas, e o cliente de hosting pode receber acesso delegado. Responsabilidade compartilhada só funciona quando cada controle tem nome e evidência.

Uma marca com baixa presença na varredura não recebe certificado de segurança. Apenas um inventário completo permite afirmar quantos controladores próprios estão privados, atualizados e supervisionados.

Isolamento é arquitetura; troca de senha é manutenção

O primeiro trabalho é remover IPMI da internet e bloquear UDP 623 no perímetro não confiável. Os BMCs devem viver em uma rede de gestão separada, com firewall e origens conhecidas, acessível por VPN controlada ou bastion host. Assim, uma configuração fraca ainda encontra uma barreira independente.

Depois, a operação troca credenciais de fábrica, remove contas desnecessárias, desativa mecanismos antigos quando possível e mantém o firmware atual. Essa rotina não substitui segmentação. Uma senha forte exposta continua oferecendo uma conversa que o lado de fora não precisa ter.

Redfish sobre TLS pode modernizar e cifrar a administração dentro da rede isolada. O TLS protege o conteúdo do tráfego, mas não seleciona a população que alcança a porta. Publicar Redfish no lugar de IPMI não recria por si só uma fronteira de confiança.

O monitoramento precisa ficar fora do servidor controlado. Tentativas de autenticação, alterações de configuração, ações de firmware e fluxo da rede de gestão devem gerar logs e alertas próprios. Se o BMC pode desligar o host, o host não pode ser o único lugar onde a organização procura o que aconteceu.

A próxima conta é custo de controle, não número imaginado de vítimas

Uma repetição metodológica da medição mostraria se o número de interfaces públicas cai após a divulgação. Para ser útil, teria de separar mudança de endereço, retirada de equipamento e correção real. Um IP que some não prova que o BMC passou a uma rede privada.

No nível da empresa, os indicadores são mais acionáveis: proporção de controladores sem rota pública, cobertura de ACL, rotação na entrada em produção, idade do firmware, presença de responsável e tempo para alertar uma tentativa anormal.

Provar invasão exigiria outros documentos: login bem-sucedido, ação não autorizada, alteração persistente ou incidente confirmado. A Lava não apresenta isso como resultado da população.

O estudo revela um passivo operacional: uma função criada para permanecer disponível quando tudo acima falha também precisa de controles que permaneçam disponíveis abaixo. O melhor resultado não é uma senha que resiste mais tempo na rua. É uma porta que deixou de ficar na rua.

Fontes