Sicherheitslücke: 24.000 Server über 22 Jahre altes Passwort-Leck angreifbar

Ein kritisches Erbe der IT-Infrastruktur

Die Sicherheit von Rechenzentren und Server-Infrastrukturen steht erneut im Fokus einer alarmierenden Entdeckung. Sicherheitsforscher des Unternehmens Lava haben eine Schwachstelle identifiziert, die bereits seit über zwei Jahrzehnten in der Firmware von Baseboard Management Controllern (BMC) schlummert. Trotz ihres Alters stellt die Lücke eine akute Bedrohung für tausende Systeme dar, die direkt über das Internet erreichbar sind.

Die Schwachstelle mit der Kennung CVE-2013-4786 ist tief im Protokoll IPMI 2.0 (Intelligent Platform Management Interface) verwurzelt. Obwohl die Identifizierung dieser Sicherheitslücke bereits im Jahr 2013 erfolgte, zeigen aktuelle Untersuchungen, dass die zugrunde liegende Problematik bis in das Jahr 2004 zurückreicht – das Geburtsjahr des Standards.

Funktionsweise des Angriffs: Wie die Lücke ausgenutzt wird

Das IPMI-Protokoll dient der Fernverwaltung von Servern, etwa zum Ein- und Ausschalten oder zur Überwachung des Systemzustands. Die Sicherheitslücke ermöglicht es einem Angreifer, ohne vorherige Authentifizierung sensible Daten abzugreifen.

Der Angriffsweg gestaltet sich nach Angaben der Forscher wie folgt:

* **Zugriff:** Ein Angreifer benötigt lediglich Zugriff auf den UDP-Port 623, über den das IPMI-Protokoll kommuniziert.

* **Datenabruf:** Der BMC sendet bei einer Anmeldeanfrage einen HMAC-SHA1-Authentifizierungscode zurück. Dieser Code basiert auf dem Passwort des Kontos sowie spezifischen Sitzungswerten.

* **Offline-Attacke:** Da dieser Code für den Anforderer ohne Authentifizierung zugänglich ist, kann er dazu genutzt werden, das Passwort auf externen Systemen mittels Brute-Force-Methoden zu entschlüsseln.

In vielen Fällen erwiesen sich die so erbeuteten Hashes als vergleichsweise einfach zu knacken, was die Gefahr für die betroffenen Systeme massiv erhöht.

Globale Verbreitung und deutsche Betroffenheit

Die Dimension der Bedrohung ist erheblich. Die Analyse von Lava zeigt, dass weltweit noch immer fast 37.000 Server-BMCs über das IPMI-Protokoll direkt aus dem Internet erreichbar sind. Von diesen Systemen sind rund 24.650 von der beschriebenen Schwachstelle direkt betroffen.

Besonders im Fokus steht dabei die geografische Verteilung der gefährdeten Server:

* **USA:** Mit 14.303 Systemen führen die Vereinigten Staaten die Liste der betroffenen Server an.

* **Deutschland:** Mit 3.281 anfälligen Systemen belegt Deutschland den zweiten Platz im weltweiten Vergleich.

* **Weitere Länder:** China (3.052), die Niederlande (2.025) und das Vereinigte Königreich (1.356) folgen auf den weiteren Plätzen.

Hintergrund und technische Einordnung

Dass eine Sicherheitslücke über 20 Jahre lang unbemerkt oder ungepatcht in so vielen Systemen verweilen kann, wirft Fragen zur Wartung von Hardware-Management-Komponenten auf. BMCs sind oft als "Black Box" in Servern verbaut und werden bei Sicherheitsupdates der Betriebssystem-Ebene häufig übersehen.

Die Tatsache, dass IPMI 2.0 seit 2004 dieses Design-Defizit aufweist, unterstreicht die Notwendigkeit, Management-Schnittstellen niemals direkt aus dem öffentlichen Internet erreichbar zu machen. Die aktuelle Situation verdeutlicht, dass veraltete Protokolle in modernen Netzwerken ein erhebliches Sicherheitsrisiko darstellen können, insbesondere wenn sie für administrative Zwecke mit weitreichenden Befugnissen ausgestattet sind.

Mögliche Folgen und notwendige Maßnahmen

Ein erfolgreicher Angriff auf den BMC bedeutet in der Praxis oft die vollständige Übernahme des Servers. Da der Controller unterhalb des Betriebssystems agiert, haben Angreifer weitreichende Kontrolle über die Hardware, können Daten manipulieren oder den Server für weitere Angriffe innerhalb des Netzwerks nutzen.

Für Administratoren und IT-Sicherheitsverantwortliche ist es daher dringend geboten, die Erreichbarkeit von IPMI-Schnittstellen zu prüfen. Systeme, die über den UDP-Port 623 aus dem Internet ansprechbar sind, sollten umgehend hinter ein VPN oder in ein isoliertes Management-Netzwerk verschoben werden. Die Identifizierung der betroffenen Systeme kann über spezielle Dashboards oder durch gezielte Scans der eigenen Infrastruktur erfolgen, um das Risiko einer unbefugten Übernahme durch die seit 2004 existierende Lücke zu minimieren.