Server di grandi marchi vulnerabili a backdoor grazie a difetti nei controller delle schede madri

Centinaia di migliaia di server prodotti da grandi marchi come HPE, Supermicro e Dell potrebbero essere compromessi da backdoor grazie a vulnerabilità critiche presenti nei controller BMC, secondo una ricerca presentata a Black Hat. Le vulnerabilità, alcune delle quali risalgono a oltre un decennio fa, si trovano all’interno dei controller BMC, dispositivi miniaturizzati che gestiscono la gestione remota dei server. Questi controller, noti come “lights out” e “out-of-band”, permettono di controllare i server anche quando sono spenti o non rispondono. La ricerca ha evidenziato un’ampia superficie di attacco non monitorata né patchata, con conseguenze potenzialmente gravi per le infrastrutture aziendali.

vulnerabilità nei controller BMC

HD Moore, esperto di sicurezza del firmware e fondatore di runZero, ha identificato più di una dozzina di nuove vulnerabilità nei controller BMC prodotti da HPE, Supermicro, Avocent, Huawei, Lenovo, Dell e altri. Alcune delle vulnerabilità risalirebbero a oltre un decennio fa, nonostante misure adottate per correggerle. “L’effetto complessivo è una superficie di attacco diffusa, non monitorata e non patchata, esposta a Internet e presente in reti aziendali, molto più sfruttabile di quanto si pensi”, ha scritto Moore in un messaggio prima del suo intervento. L’analisi ha rivelato che il 54% dei dispositivi esposti al pubblico presenta almeno una vulnerabilità critica, con alcuni di essi rimanendo vulnerabili a CVE-2013-4786, un problema di autenticazione IPMI che permette il cracking offline delle credenziali degli amministratori.

rischi per le infrastrutture aziendali

Le vulnerabilità possono essere sfruttate per installare backdoor o implanti persistenti, permettendo agli attaccanti di controllare i server da remoto. In alcuni casi, gli attacchi possono essere eseguiti senza autenticazione, come nel caso di errori di controllo della lunghezza nel servizio SSH di gestione. Moore ha sviluppato un tool open source chiamato OOBscan, che permette agli amministratori di scansionare l’intero parco di server per rilevare le vulnerabilità. “BMCs sono ancora un rischio sottostimato”, ha scritto Moore. La ricerca ha anche evidenziato che alcuni produttori, come HPE, utilizzano credenziali predefinite con spazi di chiave limitati, rendendole vulnerabili a attacchi di cracking offline.

Le vulnerabilità non sono solo un rischio teorico. Nel 2021, ricercatori hanno scoperto ILObleed, un implant malevolo che ha infettato i server HPE con firmware che distrugge i dati su dischi rigidi. Anche dopo l’installazione di un nuovo sistema operativo o il cambio di dischi, l’attacco rimane attivo. La vulnerabilità utilizzata in quel caso era già stata patchata da HPE quattro anni prima, ma non era stata installata nei dispositivi compromessi. Questi casi dimostrano come le vulnerabilità nei controller BMC possano portare a conseguenze gravi per le aziende.

azioni per mitigare i rischi

Per proteggersi, gli amministratori possono utilizzare OOBscan per scansionare i dispositivi e identificare le vulnerabilità. Inoltre, è consigliabile impostare credenziali lunghe e complesse, disattivare IPMI e KCS quando possibile, isolare le schede di rete BMC e evitare di collegarle a VLAN condivise. “L’ecosistema è decisamente indietro nel senso della qualità del codice e dell’architettura”, ha commentato Moore. La ricerca ha anche evidenziato che alcuni produttori, come Supermicro, presentano bug significativi che possono essere sfruttati per prendere il controllo dei BMC. La situazione richiede una maggiore attenzione e una patching più attiva da parte dei produttori e degli amministratori.