Uma pesquisa da Lava HQ identificou 36.872 interfaces de gerenciamento de servidores expostas publicamente por meio do protocolo IPMI, das quais 24.650 (66,9%) retornaram hashes de autenticação derivados de senhas antes da conclusão do login, devido à vulnerabilidade CVE-2013-4786, existente há mais de 20 anos no protocolo IPMI 2.0.
O BMC (Baseboard Management Controller) é um processador de gerenciamento altamente privilegiado que fornece controle remoto sobre um servidor independentemente do sistema operacional. Em ambientes de data center, o BMC pode ligar e desligar o servidor, expor um console remoto, montar mídia virtual, atualizar firmware e alterar configurações de plataforma em baixo nível, tornando-o um dos pontos de controle mais privilegiados da infraestrutura.
“Um BMC comprometido coloca os defensores em uma posição particularmente difícil”, afirma o relatório. A maioria das ferramentas de segurança monitora o sistema operacional, o kernel, os contêineres e as cargas de trabalho, mas o BMC opera fora desse limite de confiança, dando ao invasor controle abaixo do sistema operacional, permanecendo amplamente invisível para as ferramentas projetadas para protegê-lo.
Vulnerabilidade de 20 anos e hashes expostos
A vulnerabilidade CVE-2013-4786, introduzida no IPMI 2.0 em 2004, permite que um invasor não autenticado que alcance a porta UDP 623 solicite uma resposta HMAC-SHA1 calculada usando a senha da conta e valores de sessão conhecidos, e então realize tentativas de quebra de senha offline, sem gerar o padrão usual de tentativas de login repetidas com falha.
Das 24.650 interfaces que retornaram hashes, a pesquisa identificou que mais de 30% estavam associadas a senhas que puderam ser recuperadas usando listas de palavras comuns e formatos previsíveis de etiquetas de fábrica. Em 6.240 BMCs (16,9%), o material de autenticação retornado para um nome de usuário vazio correspondeu a um candidato a senha fraca. Em 2.340 BMCs (9,5%), o hash retornado para uma conta nomeada, como ADMIN ou root, correspondeu a uma senha de listas de palavras disponíveis publicamente.
Fábricas de senhas previsíveis em Supermicro e HPE
A pesquisa revelou que mesmo senhas únicas de fábrica podem ser vulneráveis quando seu formato é restrito. A Supermicro substituiu a senha compartilhada ADMIN:ADMIN em produtos afetados a partir de novembro de 2019 por uma senha única pré-programada de exatamente dez letras maiúsculas, impressa em uma etiqueta do chassi. Esse formato tem um espaço de 26^10 (aproximadamente 141 trilhões de combinações), que pode ser percorrido em aproximadamente uma hora em um servidor moderno com oito GPUs rodando Hashcat.
Para demonstrar, a Lava testou dois endereços IP adjacentes de um provedor de GPU bare-metal nos EUA. Ambos os sistemas eram modernos Supermicro com placas-mãe X13DEM fabricadas em 2023. Em ambos os casos, a senha recuperada correspondeu ao formato de etiqueta de chassi de dez caracteres da Supermicro. A Lava relatou o problema no mesmo dia, compartilhou os endereços IP afetados e a orientação de remediação, e o provedor corrigiu a exposição posteriormente.
Em um teste separado, a Lava verificou um servidor HPE iLO em seu laboratório usando a senha de fábrica emitida. O formato da senha de fábrica do HPE iLO é de oito caracteres compostos por letras maiúsculas e dígitos, um espaço de 36^8 (aproximadamente 2,8 trilhões de combinações). Em um servidor com oito GPUs RTX 6000 PRO, a busca levou aproximadamente 32 segundos por resposta.
Evidência de exploração ativa
Durante a pesquisa, a Lava encontrou uma página de login do HPE iLO 4 exposta exibindo uma nota de resgate no painel de aviso de segurança, exigindo 0,3 BTC. A mensagem alegava que os dados do servidor haviam sido criptografados. Embora a Lava não tenha confirmado se o servidor foi realmente criptografado, a página modificada mostrou que alguém havia ganhado acesso à interface de gerenciamento.
Esse não foi o primeiro indicador de que invasores miram o iLO. Pesquisas anteriores documentaram atividades maliciosas envolvendo o HPE iLO, incluindo o iLOBleed, um rootkit persistente do iLO 4 associado a ataques destrutivos contra servidores.
Recomendações de mitigação
A principal correção é simples: o IPMI não deve ser acessível pela internet pública. A Lava recomenda que os operadores:
- Bloqueiem a porta UDP 623 na borda da rede
- Substituam as senhas emitidas de fábrica durante o provisionamento
- Desabilitem opções legadas ou fracas, como IPMI 1.5, cipher suite 0, contas anônimas e autenticação NONE
- Restrinjam o acesso ao BMC a uma rede de gerenciamento privada dedicada, VPN ou host bastião
- Apliquem controles de acesso à rede para que apenas sistemas administrativos aprovados possam alcançar as interfaces BMC
- Monitorem a rede de gerenciamento separadamente das cargas de trabalho de produção
- Quando suportado, prefiram Redfish sobre TLS dentro de uma rede de gerenciamento isolada
A Supermicro, notificada pela Lava em junho de 2026, reconheceu que o cenário é plausível com capacidades modernas de quebra de senha com múltiplas GPUs, reiterou que os clientes devem alterar as senhas padrão do BMC durante a configuração e recomendou manter as redes de gerenciamento fora da internet pública. A Supermicro também afirmou que revisará possíveis melhorias na política de senha padrão para futuras revisões de hardware, incluindo senhas mais longas ou um conjunto de caracteres expandido.
