Vulnerabilidades críticas em controladores BMC expõem milhares de servidores

Em apresentação realizada na quarta-feira durante a conferência de segurança Black Hat, em Las Vegas, o especialista em segurança de firmware HD Moore, fundador e CEO da empresa runZero, revelou que milhares de servidores empresariais fabricados por gigantes como HPE, Dell, Lenovo e Supermicro possuem vulnerabilidades críticas que permitem a criação de backdoors remotos. As falhas afetam diretamente os controladores de gerenciamento de placa-mãe, conhecidos como Baseboard Management Controllers (BMCs), que operam de forma independente do sistema operacional principal e da CPU do servidor.

Uma varredura externa conduzida pela equipe de HD Moore mapeou mais de 86.000 BMCs com serviços de gerenciamento diretamente expostos à internet pública. As análises demonstraram que mais de 54% desses dispositivos continham uma ou mais vulnerabilidades de severidade crítica. Além disso, até 75.000 dessas máquinas continuavam vulneráveis à CVE-2013-4786, uma falha descoberta em 2013 no protocolo de autenticação IPMI 2.0 que possibilita a quebra offline de senhas de contas com privilégio de administrador.

A investigação da runZero também avaliou a superfície de ataque interna em corporações, analisando um total de 126.761 BMCs localizados dentro de redes privadas. O levantamento revelou que quase 29% dos dispositivos internos inspecionados mantinham ao menos uma vulnerabilidade crítica ativa. Esse cenário expõe a infraestrutura interna de data centers a invasões de movimento lateral, onde atacantes utilizam um acesso inicial simples para assumir o controle total dos controladores de hardware.

O papel dos controladores BMC na infraestrutura

Os Baseboard Management Controllers (BMCs) são pequenos computadores integrados diretamente às placas-mãe de servidores corporativos. Cada microcontrolador executa seu próprio firmware de sistema operacional, possui sua própria pilha de rede e opera sob um endereço de IP exclusivo. A tecnologia permite que administradores de sistemas realizem o gerenciamento conhecido como lights-out ou out-of-band (fora de banda), monitorando parâmetros físicos e executando ações administrativas remotas mesmo quando o servidor principal está desligado ou sem resposta.

Através de plataformas como o HPE iLO ou soluções baseadas em OpenBMC, as equipes de TI dependem dos BMCs para ligar e desligar máquinas, atualizar firmwares do sistema, monitorar temperaturas e reinstalar sistemas operacionais inteiros à distância. No entanto, por operarem abaixo do nível do sistema operacional primário, esses controladores raramente contam com os mesmos agentes de monitoramento e antivírus instalados nos servidores convencionais.

Alertas sobre os riscos associados ao protocolo IPMI (Intelligent Platform Management Interface) — o principal padrão que permite o funcionamento independente dos BMCs — vêm sendo emitidos por pesquisadores de segurança desde pelo menos 2013. Falhas no processamento de comandos do firmware IPMI abrem margem para a execução remota de código malicioso diretamente no microcontrolador, permitindo que cibercriminosos controlem o hardware subjacente sem interrupções.

"O resultado final é uma superfície de ataque paralela pervasiva, submonitorada e subcorrigida, que está exposta tanto à internet quanto disseminada dentro de redes corporativas, sendo muito mais explorável do que a maioria das pessoas imagina", alertou HD Moore em comunicado antes de sua palestra na Black Hat.

Sete classes de vulnerabilidades descobertas

A pesquisa detalhada por HD Moore catalogou um conjunto crescente de bugs divididos em sete categorias principais de vulnerabilidades de firmware. A primeira categoria envolve falhas no processo de handshake de autenticação do IPMI. Nela, invasores conseguem alterar a sequência de mensagens trocadas para burlar os requisitos de autenticação inicial, garantindo acesso prévio no BMC para posteriormente escalar privilégios. Esta falha afeta sistemas HPE iLO, Supermicro, OpenBMC, além de distribuições derivadas da H3C e da Nvidia.

A segunda classe refere-se à incapacidade do protocolo IPMI em impor proteções de integridade e criptografia durante sessões ativas. Segundo o pesquisador da runZero, os dispositivos afetados tomam decisões de autenticação e decodificação com base nos cabeçalhos enviados pelo próprio atacante, ignorando os algoritmos negociados no início da conexão. Um exploit de prova de conceito desenvolvido por Moore demonstrou como encadear essas falhas para aceitar comandos não assinados em conexões protegidas em equipamentos da HPE, Supermicro e processadores legados da Intel.

"O dispositivo decide se deve autenticar e descriptografar cada pacote a partir do próprio cabeçalho fornecido pelo atacante, e não a partir dos algoritmos negociados na sessão, fazendo com que um comando sem assinatura e sem criptografia seja aceito em uma sessão protegida", explicou HD Moore.

A terceira categoria de falhas está na geração previsível de identificadores de sessão. Em vez de utilizar geradores criptográficos aleatórios seguros, os controladores afetados utilizam contadores simples ou o relógio do sistema para criar tokens de acesso. Isso permite que um invasor preveja e sequestre sessões ativas de outros usuários tanto no serviço IPMI quanto no console KVM via navegador, com impacto direto e crítico detectado em placas da Supermicro.

A quarta classe de problemas envolve corrupção de memória pré-autenticação no serviço de gerenciamento SSH. Devido a erros de validação do tamanho de pacotes recebidos, o código vulnerável pode ser induzido a executar instruções maliciosas antes mesmo de qualquer checagem de senha. Esta vulnerabilidade específica de estouro de buffer foi identificada em múltiplos sistemas HPE iLO.

A quinta categoria abrange o uso de firmwares não assinados ou controláveis pelo atacante, somado à ausência de verificação de integridade das configurações. Administradores autenticados — ou hackers que tenham conseguido contornar a autenticação — podem instalar implantes permanentes no controlador ou substituir as chaves criptográficas de validação de firmware. Essa vulnerabilidade atinge equipamentos produzidos pela Supermicro, H3C e Dell.

A sexta classe diz respeito ao armazenamento de segredos extraíveis diretamente de arquivos públicos de firmware, os quais são utilizados como credenciais ativas nos sistemas. Chaves privadas e constantes encontradas em atualizações baixáveis do fabricante podem ser usadas por invasores para autenticar ou interceptar tráfego de dados nos BMCs da Supermicro, OpenBMC, Huawei e Dell.

Por fim, a sétima categoria foca na permanência de credenciais padrão ou geradas aleatoriamente na fábrica que são expostas pela vulnerabilidade CVE-2013-4786. Mesmo quando as senhas são alteradas antes do envio do servidor, o espaço reduzido de caracteres das senhas de fábrica permite a recuperação do texto puro em ataques de quebra offline. Nos testes, os padrões da HPE (com 8 dígitos alfanuméricos) se mostraram os mais frágeis, enquanto soluções da Dell e Supermicro exigem um tempo computacional ligeiramente maior, variando de horas a dias de processamento.

Ameaças reais e o histórico do iLObleed

A exploração de falhas em controladores BMC não é apenas uma possibilidade teórica de laboratório. Em 2021, especialistas em cibersegurança identificaram em ambiente de produção o malware conhecido como iLObleed, um implante altamente destrutivo desenhado para infectar servidores da HPE com um firmware do tipo wiper, focado na destruição irrecuperável de dados em discos rígidos.

O grande diferencial técnico do iLObleed foi a sua persistência extrema. Mesmo após os administradores de rede formatarem as máquinas, trocarem os discos rígidos e reinstalarem completamente o sistema operacional hospedeiro, o malware continuava residente dentro do chip do HPE iLO. O código malicioso reativava o ataque de destruição de dados assim que a máquina voltava a operar. A falha explorada pelo iLObleed já possuía uma correção oficial disponibilizada pela HPE quatro anos antes do ataque, mas a atualização nunca fora aplicada pelas equipes de TI das empresas afetadas.

O risco representado por estes dispositivos levou autoridades globais a agirem. No ano passado, a CISA (Cybersecurity and Infrastructure Security Agency), agência de segurança cibernética dos Estados Unidos, incluiu formalmente uma vulnerabilidade crítica localizada em controladores AMI BMC na sua lista oficial de falhas conhecidas e ativamente exploradas por cibercriminosos em ataques reais.

Ferramentas de auditoria e medidas de mitigação

Para auxiliar os profissionais de segurança da informação no mapeamento e identificação de sistemas vulneráveis, HD Moore lançou publicamente a ferramenta open source denominada OOBscan. O utilitário foi projetado para realizar varreduras automatizadas em grandes parques de servidores, identificando a lista em expansão de falhas e más configurações no protocolo IPMI e nos serviços de gerenciamento fora de banda.

Além da utilização da ferramenta OOBscan, o especialista recomenda quatro medidas imediatas de endurecimento de segurança para administradores de infraestrutura:

• Definir nomes de usuários únicos e senhas longas e complexas para todas as contas de gerenciamento do BMC.
• Desativar completamente o protocolo IPMI em todos os ambientes onde sua utilização não for estritamente necessária.
• Desabilitar a interface KCS (Keyboard Controller Style) para bloquear o acesso direto ao BMC a partir do sistema operacional hospedeiro.
• Isolar a placa de rede (NIC) de cada BMC individualmente, evitando colocar múltiplos controladores em uma mesma rede local virtual (VLAN) compartilhada.

Impacto para o mercado de tecnologia no Brasil

O cenário de vulnerabilidades em controladores de hardware traz implicações diretas para datacenters, operadoras de telecomunicações e provedores de nuvem que operam no Brasil. O parque instalado no país é fortemente composto por servidores corporativos das linhas Dell PowerEdge, HPE ProLiant e Lenovo ThinkSystem, equipamentos que utilizam extensivamente controladores iLO, iDRAC e XClarity baseados em arquitetura BMC.

Em ambientes de data center brasileiros onde a prática de segmentação de rede para interfaces de gerenciamento fora de banda nem sempre é aplicada rigorosamente, a presença de falhas históricas como a CVE-2013-4786 representa um risco elevado de conformidade e segurança da informação. A adoção do utilitário OOBscan e o isolamento de redes de gerenciamento surgem como passos essenciais para evitar acessos não autorizados de nível de hardware.

"Os BMCs ainda são um risco subestimado", concluiu HD Moore. "Este trabalho mostra que o ecossistema está muito atrás da curva em termos de qualidade de código e arquitetura."