Server-Fernwartung: 24.650 Server für 20 Jahre alte Lücke anfällig

Ein kritisches Erbe: Sicherheitslücke im IPMI-Protokoll

IT-Sicherheitsforscher von Lava HQ haben auf eine gravierende Schwachstelle aufmerksam gemacht, die Server-Infrastrukturen weltweit bedroht. Im Zentrum steht das IPMI-Protokoll (Intelligent Platform Management Interface), das seit 2004 zur Fernwartung von Servern eingesetzt wird. Bereits im Jahr 2013 wurde unter dem Codenamen „Cipher-0“ eine Sicherheitslücke bekannt, die eine Umgehung der Authentifizierung ermöglicht (CVE-2013-4786). Mit einem CVSS-Score von 7,5 wird das Risiko als hoch eingestuft, da Angreifer Passwörter aus den übertragenen Hashes rekonstruieren können.

Die Analyse zeigt, dass die Problematik keineswegs nur historische Hardware betrifft. Auch moderne Server-Mainboards, darunter Systeme von HPE und Supermicro, sind betroffen. Besonders kritisch ist dies bei Anbietern von GPU-Rechenleistung, bei denen eine Vielzahl von Systemen im Einsatz ist.

Die Rolle des Baseboard Management Controllers (BMC)

Das BMC ist eine eigenständige Komponente auf dem Mainboard, die unabhängig vom Betriebssystem arbeitet. Es ermöglicht Administratoren den Zugriff auf die Hardware, selbst wenn der Server ausgeschaltet ist oder das Betriebssystem nicht reagiert. Diese weitreichenden Befugnisse machen das BMC zu einem hochsensiblen Ziel für Angriffe.

Ein wesentlicher Faktor für die weite Verbreitung der Schwachstelle ist eine automatische Fallback-Funktion vieler Mainboards. Wenn der dedizierte Management-Port nicht explizit konfiguriert ist, sucht sich das BMC automatisch eine andere Netzwerkschnittstelle und bezieht via DHCP eine IP-Adresse. Dies führt dazu, dass zahlreiche Systeme unbeabsichtigt aus dem öffentlichen Internet erreichbar sind, ohne dass dies von den Administratoren beabsichtigt war.

Ausmaß der Bedrohung

Die Untersuchungen von Lava HQ verdeutlichen das Ausmaß: Bei einem Scan des Internets wurden über 36.000 Server-Management-Interfaces identifiziert, die IPMI unterstützen. Von diesen lieferten 24.650 Systeme verwertbare Hashes zurück, die offline geknackt werden können. Besonders alarmierend ist, dass bei etwa 30 Prozent dieser Fälle Passwörter verwendet wurden, die auf Standardwerten oder einfachen Wortlisten basieren. Es gibt bereits konkrete Hinweise auf erfolgreiche Kompromittierungen; so wurde bei einem HPE iLO-4-System bereits eine Ransomware-Nachricht dokumentiert.

Empfohlene Schutzmaßnahmen für Administratoren

Angesichts der Bedrohungslage sollten IT-Verantwortliche umgehend handeln. Die folgenden Schritte sind essenziell, um die Sicherheit der Serverlandschaft zu gewährleisten:

* **Netzwerk-Isolation:** Der Zugriff auf das BMC sollte zwingend auf dedizierte, private Verwaltungsnetze oder ein VPN beschränkt werden. Der UDP-Port 623 muss an der Netzwerkgrenze per Firewall blockiert werden.

* **Härtung der Konfiguration:** Veraltete Optionen wie IPMI 1.5, Cipher Suite 0, anonyme Konten sowie die „None“-Authentifizierung sind zu deaktivieren.

* **Passwort-Management:** Werksseitige Standardzugangsdaten müssen in jedem Fall durch starke, individuelle Passwörter ersetzt werden.

* **Analyse kompromittierter Systeme:** Schnittstellen, die als offen für das Internet erkannt wurden, sollten als bereits kompromittiert betrachtet werden. In solchen Fällen ist es ratsam, die betroffenen Systeme vollständig neu aufzusetzen.

Die Überwachung der Verwaltungsnetzwerke sollte zudem strikt von den Produktivsystemen getrennt erfolgen, um eine Ausbreitung von Angriffen zu verhindern. Da die Schwachstelle seit über einem Jahrzehnt bekannt ist, unterstreicht dieser Fall die Notwendigkeit, auch bei etablierten Fernwartungsprotokollen eine kontinuierliche Sicherheitsprüfung durchzuführen.