Tienduizenden servers kwetsbaar voor cyberaanvallen via motherboard-controllers
Meer dan 86.000 internet-verbonden servers van grote fabrikanten bevatten kritieke beveiligingsgaten in hun ingebouwde besturingscontrollers. Onderzoekers hebben aangetoond dat hackers deze zwakke plekken kunnen misbruiken om diep in datacenters in te dringen en daar persistent aanwezig te blijven.
Oude kwetsbaarheden blijven onopgelost
De zogenoemde BMC-controllers (Baseboard Management Controllers) zijn minicomputers op de moederborden van zakelijke servers. Ze hebben hun eigen besturingssysteem, netwerkstack en IP-adres en kunnen servers beheren en monitoren zelfs wanneer deze uitgeschakeld zijn. Onderzoekers waarschuwen al sinds 2013 voor risico's via het IPMI-protocol dat deze controllers gebruikt.
Beveiligingsexpert HD Moore ontdekte tijdens onderzoek voor de Black Hat-conferentie in Las Vegas dat veel kwetsbaarheden van meer dan tien jaar oud nog altijd actief zijn. Fabrikanten als HPE, Supermicro, Dell, Lenovo en Huawei worden getroffen.
Massale blootstelling
Een grootschalige scan vond 86.000 extern bereikbare BMC's, waarvan 54 procent minstens één kritieke kwetsbaarheid bevat. Ongeveer 75.000 apparaten zijn nog steeds kwetsbaar voor CVE-2013-4786, waarmee wachtwoorden kunnen worden gekraakt. Een interne scan van 126.761 BMC's toonde aan dat bijna 29 procent kritieke gebreken heeft.
Aanvalsmogelijkheden
De geïdentificeerde zwakke plekken betreffen onder meer gebreken in authenticatieprotocollen, onversleutelde communicatie, voorspelbare sessie-identifiers en pre-authenticatie-fouten. Hackers kunnen hiermee beheerderswachtwoorden offline kraken, beveiligde sessies overnemen en schadelijke firmware installeren die zelfs overleeft bij besturingssysteemherstel.
In 2021 ontdekten onderzoekers ILObleed, malware die HPE-servers infecteerde met firmware die gegevens verwijderde. Het probleem: de patch bestond al vier jaar, maar was niet geïnstalleerd.
Verdediging mogelijk
Moore heeft een open-source scanprogramma (OOBscan) vrijgegeven. Beheerders kunnen hiermee hun servers controleren. Aanvullend advies: gebruik lange complexe wachtwoorden, schakel IPMI uit waar mogelijk, en isoleer BMC-netwerkkaarten.