IT-Forscher haben \u00fcber eine 20 Jahre alte Sicherheitsl\u00fccke in der Server-Fernwartung Zugriff auf tausende Server in Rechenzentren erhalten k\u00f6nnen. IT-Verantwortliche sollten ihre Systeme \u00fcberpr\u00fcfen und gegebenenfalls Gegenma\u00dfnahmen ergreifen \u2013 die Systeme k\u00f6nnen auch ohne Absicht im Netz erreichbar sein.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Die IT-Sicherheitsforscher von Lava HQ haben eine Analyse<\/a> der Verbreitung der Schwachstelle in der Firmware des Baseboard Management Controllers (BMC) vieler auch aktueller Server-Mainboards ver\u00f6ffentlicht. Das BMC l\u00e4uft getrennt vom Betriebssytem direkt auf dem Motherboard und erm\u00f6glicht die Fernwartung der Hardware ohne physischen Zugang \u2013 selbst dann, wenn der eigentliche Server nicht arbeitet.<\/p>\n Im verwendeten IPMI-Protokoll aus dem Jahr 2004 wurde im Jahr 2013 eine Schwachstelle mit dem Codenamen \u201eCipher-0\u201c<\/a> bekannt, durch die sich die Authentifizierung von IPMI-2.0 umgehen l\u00e4sst. Die Passw\u00f6rter lassen sich aus den beim RMCP+ Authenticated Key-Exchange Protocol (RAKP) verwendeten Hashes etwa mit hashcat wieder rekonstruieren (CVE-2013-4786<\/a>, CVSS 7.5<\/strong>, Risiko \u201ehoch<\/strong>\u201c).<\/p>\n Wie die Analysten schreiben, haben sie beim Scan des Internets insgesamt 36.872 Server-Management-Interfaces aufgesp\u00fcrt, die das IPMI-Protokoll sprechen. Von denen lieferten 24.650 vom Passwort abgeleitete Hashes zur\u00fcck, die sich dann sogar offline knacken lassen. Den IT-Forschern zufolge lassen sich 30 Prozent der zur\u00fcckgelieferten Hashes mit Passw\u00f6rtern in Verbindung bringen, die mit \u00fcblichen Wortlisten oder vorhersagbaren werksseitigen Werten sich wiederherstellen lassen. Sie haben zudem Belege daf\u00fcr gefunden, dass einige der im Internet erreichbaren BMC-Schnittstellen bereits erfolgreich angegriffen wurden. So zeigte ein HPE iLO-4-System eine Ransomware-Nachricht an. Es sind auch moderne Supermicro- und HPE-Server betroffen, wie sie Anbieter von GPU-Rechenzeit nutzen, zudem geh\u00f6ren Systeme dazu, die noch die werksseitigen Standardpassw\u00f6rter nutzen.<\/p>\n Unbeabsichtigte Freigabe des BMC<\/p>\n Das BMC lauscht im Regelfall auf einer eigenen Netzwerkbuchse auf dem Mainboard, damit Admins diese gezielt an ein Verwaltungs-VLAN anbinden k\u00f6nnen. Die Mainboards vieler Server enthalten jedoch eine Fallback-Automatik. Wenn der separate Fernwartungsport nicht genutzt wird, meldet sich das BMC stattdessen auf einer der anderen Onboard-Netzwerkschnittstellen. Daf\u00fcr kommt eine eigene MAC-Adresse zum Einsatz, die \u00fcber DHCP eine eigene IP-Adresse erh\u00e4lt. Da der Zugriff oftmals mit unver\u00e4nderten Standardzugangsdaten wie \u201eadmin\/admin\u201c \u201egesichert\u201c ist, stellt das ein Sicherheitsrisiko dar, schrieb die c\u2019t bereits im Jahr 2017<\/a>. So kommt es vermutlich, dass zahlreiche Serversysteme unbeabsichtigt ein aus dem Internet erreichbares BMC haben. Admins sollten ihre eigenen Netze daher unbedingt darauf \u00fcberpr\u00fcfen.<\/p>\n An der Netzwerkgrenze sollte mittels Firewall der UDP-Port 623 blockiert und beim Einrichten der Systeme die werksseitigen Zug\u00e4nge ge\u00e4ndert werden. Veraltete oder schwache Optionen wie IMPI 1.5, Cipher Suite 0, anonyme Konten und die \u201eNone\u201c-Authentifizierung sollten Admins deaktivierten. BMC-Zugriff sollte zudem auf dedizierte private Verwaltungsnetze oder zumindest auf ein VPN beschr\u00e4nkt werden. Die \u00dcberwachung des Verwaltungsnetzwerks sollte losgel\u00f6st von anderne Produktivsystemen erfolgen. Als f\u00fcr Internetzugriffe offen erkannte Systeme sollten IT-Verantwortliche als kompromittiert betrachten und von Grund auf neu aufsetzen.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n