Kwetsbaarheden in Baseboard Management Controllers (BMC’s) vormen een onderschat risico voor enterprise-servers. Nieuw onderzoek van beveiligingsbedrijf runZero laat zien dat meer dan de helft van de publiek bereikbare BMC’s ten minste één kritieke kwetsbaarheid bevat. Sommige daarvan zijn al sinds 2013 bekend. Ze blijken echter nog op grote schaal aanwezig.
BMC’s zijn afzonderlijke microcontrollers op het moederbord van vrijwel iedere enterprise-server. Ze beschikken over een eigen firmware, netwerkstack en IP-adres. Ze maken beheer op afstand mogelijk, zelfs wanneer de server zelf is uitgeschakeld of niet meer reageert. Juist die zelfstandige positie maakt ze aantrekkelijk voor aanvallers die langdurige toegang tot een serveromgeving willen verkrijgen.
Firmwareonderzoeker HD Moore, oprichter en CEO van runZero en bekend als de bedenker van het Metasploit Framework, presenteerde zijn bevindingen tijdens Black Hat USA. Het onderzoek richt zich op BMC-implementaties van onder meer HPE, Dell, Supermicro, AMI, Fujitsu, H3C en OpenBMC. Volgens runZero maken de kwetsbaarheden ongeautoriseerde controle over de managementcontroller mogelijk, waardoor aanvallers beveiligingsmaatregelen kunnen omzeilen en zich lateraal door een infrastructuur kunnen verplaatsen.
Opvallend is dat Moore naast nieuwe kwetsbaarheden ook fouten aantrof die al ruim tien jaar bekend zijn. Vooral de architectuur van het IPMI-protocol (Intelligent Platform Management Interface) blijkt nog steeds een zwakke schakel.
Meer dan 86.000 systemen onderzocht
Om de omvang van het probleem vast te stellen voerde runZero twee grootschalige scans uit. Daarbij werden ruim 86.000 publiek bereikbare BMC’s aangetroffen. Van deze systemen bevatte meer dan 54 procent minstens één kritieke kwetsbaarheid. Daarnaast bleken ongeveer 75.000 systemen nog kwetsbaar voor CVE-2013-4786, een fout in het IPMI 2.0-authenticatieprotocol waarmee beheerderswachtwoorden offline kunnen worden gekraakt.
Een tweede scan binnen bedrijfsnetwerken onderzocht 126.761 BMC’s. Daarvan bleek bijna 29 procent eveneens één of meer kritieke kwetsbaarheden te bevatten, meldt Ars Technica. Volgens Moore vormt dit een omvangrijk, maar vaak nauwelijks gemonitord aanvalsoppervlak binnen enterprise-omgevingen.
Authenticatie en firmware kwetsbaar
De ontdekte kwetsbaarheden vallen uiteen in meerdere categorieën. Zo trof runZero fouten aan in de authenticatie van IPMI, waardoor aanvallers beveiligingscontroles kunnen omzeilen. Andere kwetsbaarheden maken misbruik van voorspelbare sessie-identificaties, onvoldoende controle op versleutelde sessies of fouten in de SSH-beheersdienst die al vóór authenticatie kunnen worden misbruikt. Ook ontdekte Moore dat sommige leveranciers firmware onvoldoende beschermen tegen manipulatie of cryptografische sleutels opnemen die uit publieke firmwarebestanden kunnen worden teruggehaald.
Veel van deze kwetsbaarheden kunnen bovendien met elkaar worden gecombineerd. Een aanvaller die via één lek beperkte toegang krijgt, kan vervolgens aanvullende kwetsbaarheden benutten om permanente controle over de BMC te verkrijgen.
OOBscan moet beheerders helpen
Gelijktijdig met het onderzoek introduceerde runZero de open-source tool OOBscan. Daarmee kunnen organisaties hun infrastructuur controleren op kwetsbare BMC’s en IPMI-configuraties. Daarnaast adviseert het bedrijf om managementinterfaces niet rechtstreeks aan internet bloot te stellen, IPMI waar mogelijk uit te schakelen of af te schermen en een gestructureerd patchbeleid voor BMC-firmware op te zetten.
Volgens Moore krijgt de beveiliging van BMC’s al jaren onvoldoende aandacht, terwijl juist deze componenten diep in de infrastructuur zijn verankerd en uitgebreide beheermogelijkheden bieden. Zijn conclusie is dan ook dat de softwarekwaliteit en architectuur van veel BMC-implementaties nog altijd achterblijven bij de beveiligingseisen die moderne datacenteromgevingen stellen.