Mais de 24.000 servidores acessíveis através da internet estão a expor dados de autenticação críticos devido a uma vulnerabilidade severa em interfaces de gestão remota. O alerta foi emitido pelos investigadores da Lava, que identificaram que esta falha com duas décadas coloca infraestruturas informáticas de empresas e ambientes de inteligência artificial sob risco de controlo hostil.
O perigo do controlo ao nível da motherboard
A falha de segurança está associada à debilidade de autenticação CVE-2013-4786, enraizada no protocolo IPMI 2.0 que foi introduzido originalmente em 2004. O problema reside na interface do Controlador de Gestão do Chassi (BMC), um processador integrado na placa principal que permite aos administradores de sistemas gerirem a máquina de forma remota e independente do sistema operativo instalado.
Através deste acesso de baixo nível, é possível ligar ou desligar os equipamentos, injetar atualizações de firmware malicioso ou alterar configurações essenciais de hardware. Caso um cibercriminoso explore esta vulnerabilidade, consegue capturar uma resposta de validação e realizar a quebra da palavra-passe em modo offline, recorrendo a sistemas potentes equipados com placas gráficas dedicadas.
Em ecossistemas de inteligência artificial onde a segmentação de rede seja deficiente, o comprometimento de um único servidor físico pode expor ou paralisar as tarefas e dados de múltiplos clientes em simultâneo através da partilha de recursos ou virtualização.
Dimensão global e a resposta dos fabricantes
Durante a análise realizada aos serviços IPMI expostos publicamente na porta UDP 623, os especialistas detetaram 36.872 computadores acessíveis. Desse total, 24.650 revelaram dados derivados de palavras-passe suscetíveis a tentativas de quebra offline. Adicionalmente, 6.240 servidores aceitaram utilizadores em branco no processo de validação, enquanto 2.340 instâncias utilizavam credenciais de administrador extremamente fracas que constavam em dicionários públicos.
No mapa de exposição global, os Estados Unidos lideram a lista concentrando 39% dos servidores vulneráveis. Uma fatia significativa destas máquinas pertence a sistemas da Supermicro, cujas credenciais de fábrica incluem o nome de utilizador 'ADMIN' e chaves de 10 caracteres maiúsculos impressas num autocolante colado no próprio chassi. Os analistas estimam que reverter chaves semelhantes de fornecedores como a HPE demoraria cerca de 1 dia num chip Apple M3.
Até ao momento, os investigadores já detetaram pelo menos uma página de entrada do sistema HPE iLO 4 comprometida a exibir uma nota de resgate que exige o pagamento de 0,3 BTC. Confrontada em junho, a Supermicro reconheceu a situação e relembrou que as boas práticas exigem o isolamento destas redes e a rotação das palavras-passe de fábrica. Já a equipa de segurança da HPE respondeu apenas com uma mensagem automática de receção.
Para mitigar a vulnerabilidade, a recomendação passa por remover as interfaces IPMI e Redfish da internet pública, desativar a autenticação herdada do IPMI e garantir o isolamento absoluto dos acessos de gestão.
Nenhum comentário
Seja o primeiro!