Kompromittiertes System entdeckt
Insgesamt 6.240 Systeme akzeptieren laut den Untersuchungen von Lava eine Anmeldung mit einem leeren Nutzernamen sowie einem schwachen Passwort. Bei 2.340 BMCs kommen gängige Standard-Nutzernamen wie Admin oder Root sowie Passwörter aus öffentlich verfügbaren Wortlisten zum Einsatz. Passwörter, die nicht in den Wortlisten vorkommen, sollen teilweise vorhersehbaren und werksseitig vorgegebenen Formaten entsprechen.
Die Forscher fanden auch Hinweise darauf, dass Angreifer CVE-2013-4786 möglicherweise schon ausgenutzt haben, um Serversysteme zu infiltrieren. Bei mindestens einem HPE-System (iLO 4) erschien auf der Anmeldeseite eine Lösegeldforderung von Ransomwarehackern. Diese hatten offenbar das System über das Management-Interface kompromittiert und versuchten, den Betreiber zu einer Zahlung von 0,3 Bitcoin (derzeit rund 17.000 Euro) zu erpressen.
"BMCs steuern kritische Infrastrukturen, werden jedoch häufig weitaus weniger überwacht und geschützt als die von ihnen verwalteten Systeme. In Kombination mit modernen GPU-Cracking-Methoden und vorhersehbaren Werkseinstellungen kann diese Schwachstelle ein einzelnes ungeschütztes BMC zu einem privilegierten und schwer zu erkennenden Einfallstor für das Verwaltungsnetzwerk machen", warnen die Forscher in ihrem Bericht.
Jedes zweite System von Supermicro
Die Lava-Forscher haben ihre Funde nach eigenen Angaben an betroffene Hersteller und, sofern identifizierbar, die jeweiligen Serverbetreiber gemeldet. Dazu zählte auch der Hersteller Supermicro, dessen Server wohl für mehr als 50 Prozent aller BMCs in dem von Lava untersuchten Datensatz verantwortlich sind. Dieser will nun wohl prüfen, ob er seine Standard-Passwortrichtlinien für zukünftige Hardwarerevisionen optimieren kann.
Betreibern wird empfohlen, IPMI grundsätzlich nicht über das offene Internet zugänglich zu machen, den UDP-Port 623 zu blockieren und vom Hersteller vorkonfigurierte Standardpasswörter bei der Inbetriebnahme neuer Server stets zu ändern. Fernzugriffe auf BMC-Interfaces sollten zudem laut Lava durch strikte Zugriffskontrollen geschützt und zwingend erforderliche externe Zugriffe per VPN abgesichert werden.
- Anzeige Hier geht es zu Kryptowährungen - Investments in Bitcoin & Altcoins bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.