Controladores de gerenciamento formam uma camada paralela de acesso
Os baseboard management controllers (BMCs) são computadores embarcados nas placas-mãe de praticamente todos os servidores corporativos. Eles têm firmware, pilha de rede e endereço IP próprios.
Administradores usam esses controladores para acompanhar o estado físico de grandes frotas e executar ações como reinicializar máquinas, instalar atualizações e reinstalar sistemas operacionais. Como operam mesmo quando o servidor está desligado ou não responde, os BMCs viabilizam o gerenciamento remoto fora de banda.
Essa capacidade também concentra risco: falhas no BMC podem permitir acesso profundo e persistente aos servidores administrados por ele. A pesquisa citada encontrou novas vulnerabilidades em BMCs vendidos por HPE, Supermicro, Avocent, Huawei, Lenovo, Dell e outros fabricantes.
Varreduras apontam exposição externa e falhas em redes internas
HD Moore, especialista em segurança de firmware e CEO e fundador da runZero, conduziu duas varreduras para dimensionar o problema. A análise externa encontrou mais de 86 mil BMCs com um serviço de gerenciamento exposto publicamente.
Mais de 54% desses dispositivos apresentavam uma ou mais vulnerabilidades críticas. Até 75 mil permaneciam vulneráveis à CVE-2013-4786, falha no protocolo de autenticação IPMI 2.0 que pode permitir a quebra offline de senhas de contas administrativas do BMC.
Na análise interna, que abrangeu 126.761 BMCs em redes corporativas, quase 29% apresentaram uma ou mais vulnerabilidades críticas. Entre as classes de falhas relatadas estão problemas de autenticação IPMI, identificadores de sessão previsíveis, corrupção de memória antes da autenticação, firmware sem assinatura e segredos recuperáveis do firmware.
Persistência torna a atualização de firmware relevante
O texto relembra o ILObleed, implante malicioso descoberto em 2021 em servidores HPE. Ele usava firmware destrutivo e podia permanecer ativo mesmo após a reinstalação do sistema operacional ou a troca de discos rígidos.
Segundo o relato, a vulnerabilidade explorada nessa campanha havia recebido correção quatro anos antes, mas o patch não estava instalado nos dispositivos comprometidos. O caso ilustra que a camada de gerenciamento precisa entrar no escopo operacional de correção e acompanhamento de vulnerabilidades.
Moore também informou que algumas falhas identificadas exigem autenticação, mas podem ser combinadas com vulnerabilidades pré-autenticação ou com acesso limitado já obtido no BMC para ampliar privilégios e alterar o firmware.
Recomendação editorial: incluir BMCs no inventário e nas verificações
Para gestores de infraestrutura e segurança, a recomendação editorial é tratar os BMCs como ativos distintos dos sistemas operacionais dos servidores: eles têm interfaces, firmware e credenciais próprios e, portanto, exigem acompanhamento específico.
A ação diretamente apoiada pela pesquisa é usar a ferramenta aberta OOBscan, lançada por Moore, para examinar a frota de servidores e identificar a lista de vulnerabilidades de BMC catalogadas por ele. A priorização de correções deve considerar, em especial, interfaces de gerenciamento expostas publicamente e dispositivos com falhas críticas detectadas.