Controller di gestione baseboard ancora pieni di vulnerabilità sfruttabili
Facepalm: Gli aggressori stanno prendendo di mira l’hardware che mantiene in funzione i server moderni, con il punto debole rappresentato dal controller di gestione baseboard (BMC) installato sulla scheda madre. Nuove ricerche dimostrano che migliaia di questi controller, distribuiti per anni dai principali produttori di server, restano esposti su Internet e all’interno delle reti aziendali a causa di gravi difetti di lunga data che sono ancora facili da sfruttare.
I controller di gestione baseboard, o BMC, sono piccoli computer integrati in quasi tutti i server aziendali. Possiedono un proprio firmware, sistema operativo, stack di rete e indirizzo IP. Gli amministratori li utilizzano per riavviare i dispositivi, installare aggiornamenti, reinstallare sistemi operativi e monitorare l’hardware, anche quando il server principale è spento o non risponde.
Questo elevato livello di controllo rende i BMC preziosi per le operazioni IT ma pericolosi se gli aggressori ne ottengono l’accesso. Se compromessi, un BMC può dare a un attaccante il controllo del server sottostante.
Alla conferenza sulla sicurezza Black Hat a Las Vegas, l’esperto di sicurezza del firmware HD Moore, CEO e fondatore di runZero, ha presentato nuove ricerche che mostrano come molte delle debolezze da lui identificate nel 2013 siano ancora presenti. Ha anche rivelato più di una dozzina di vulnerabilità recentemente scoperte che influenzano i BMC di HPE, Supermicro, Avocent, Huawei, Lenovo, Dell e altri fornitori.
Il problema principale continua a concentrarsi su IPMI, il protocollo che consente ai BMC di gestire i server in modalità out-of-band.
“Il risultato finale è una superficie di attacco parallela pervasiva, poco monitorata, poco aggiornata, che è sia esposta su Internet sia diffusa all’interno delle reti aziendali, ed è molto più sfruttabile di quanto molti pensino,” ha scritto Moore in una email prima del suo intervento.
Per misurare l’entità dell’esposizione, Moore ha condotto due ampie scansioni. Una cercava i BMC accessibili attraverso Internet pubblico, mentre l’altra esaminava le reti aziendali interne.
La scansione esterna ha trovato più di 86.000 BMC con servizi di gestione esposti a Internet pubblico. Più della metà di essi (54%) presentava almeno una vulnerabilità critica. Fino a 75.000 erano vulnerabili a CVE-2013-4786, un difetto nel protocollo di autenticazione IPMI 2.0 che permette agli aggressori di decifrare offline le password degli amministratori. All’interno delle reti aziendali, una scansione interna di 126.761 BMC ha scoperto che quasi il 29% conteneva una o più vulnerabilità critiche.
Le vulnerabilità descritte da Moore influenzano più livelli dello stack BMC. Alcune riguardano l’autenticazione IPMI, mentre altre influenzano la sicurezza della sessione, la gestione della memoria e la manipolazione del firmware e dei segreti.
Una categoria di vulnerabilità deriva da difetti nell’handshake di autenticazione IPMI. Gli aggressori possono manipolare l’ordine dei messaggi per bypassare i controlli e ottenere un accesso limitato al BMC.
I prodotti interessati includono HPE iLO, Supermicro, OpenBMC e sistemi derivati da OpenBMC di H3C e Nvidia. Una volta che un aggressore ottiene questo accesso, vulnerabilità aggiuntive possono essere concatenate per ottenere il controllo completo.
Un altro insieme di vulnerabilità esiste perché IPMI non sempre fa rispettare l’integrità e la crittografia durante le sessioni. “Il dispositivo decide se autenticare e decifrare ogni pacchetto basandosi sull’intestazione propria dell’attaccante, e non dagli algoritmi negoziati nella sessione, quindi un comando non firmato e non criptato viene accettato in una sessione sicura,” ha detto Moore.
Moore ha sviluppato un proof of concept che utilizza questi difetti per “concatenare problemi altrimenti non sfruttabili in sessioni complete.” I venditori interessati includono HPE, Supermicro e sistemi Intel legacy.
Gli ID di sessione rappresentano un altro punto debole in alcuni sistemi. Invece di generare valori casuali forti, alcune implementazioni creano token basati su semplici contatori o valori dell’orologio, rendendoli prevedibili.
Un aggressore può indovinare la sessione BMC attiva di un altro utente e prenderne il controllo tramite sia IPMI che console KVM basate su browser. Moore ha affermato che le due vulnerabilità più gravi di questo tipo interessano i sistemi Supermicro.
Moore ha scoperto anche vulnerabilità di corruzione della memoria pre-autenticazione. Nei sistemi HPE iLO, un difetto di validazione della lunghezza nel servizio SSH di gestione può essere sfruttato prima dell’autenticazione e utilizzato per eseguire codice controllato dall’attaccante. Questo fornisce un percorso diretto all’esecuzione di codice remoto sul BMC.
L’integrità del firmware è un’altra area di preoccupazione. In alcuni sistemi, il firmware è non firmato o può essere modificato dagli aggressori, mentre i controlli di integrità della configurazione non sono applicati. Un account amministratore autenticato potrebbe essere abusato per installare un impianto persistente o sostituire le chiavi utilizzate per la verifica del firmware. Queste debolezze possono anche essere combinate con altre vulnerabilità per bypassare l’autenticazione e aumentare i privilegi. Supermicro, H3C e Dell sono interessati da questi problemi a livello di firmware.
La gestione dei segreti memorizzati nel firmware crea ulteriori rischi. Chiavi e costanti incorporate nelle immagini del firmware pubblicamente disponibili possono essere estratte e riutilizzate come credenziali valide. Questo può permettere agli aggressori di autenticarsi ai BMC o di decifrare il traffico. Moore ha identificato questo modello in dispositivi di Supermicro, OpenBMC, Huawei e Dell.
Le pratiche relative alle password peggiorano la situazione. Molti BMC si affidano ancora a credenziali predefinite o generate in fabbrica. Con CVE-2013-4786, gli aggressori possono ottenere gli hash delle password e eseguire attacchi di cracking offline. Anche quando i venditori randomizzano le password prima della spedizione, gli spazi chiave disponibili possono essere ancora troppo piccoli.
Moore ha trovato che HPE utilizza “otto cifre o alfanumerici,” che ha descritto come l’approccio più debole. Supermicro e Dell utilizzano credenziali predefinite leggermente più lunghe che rallentano gli attacchi ma non li impediscono, estendendo i tentativi di recupero delle password da ore a giorni a seconda della potenza di calcolo disponibile.
Sebbene molte delle vulnerabilità recentemente scoperte richiedano l’autenticazione per essere sfruttate, quella barriera può spesso essere aggirata concatenandole con difetti pre-autenticazione. In altri casi, gli aggressori che ottengono un accesso limitato possono installare firmware più vecchio, vulnerabile o deliberatamente manomesso sul BMC e poi utilizzare il controllo del sistema operativo per modificare ulteriormente il controller.
Per aiutare i difensori a comprendere la loro esposizione, Moore ha rilasciato uno scanner open-source chiamato OOBscan. Lo strumento permette agli amministratori di scandire intere flotte di server per le debolezze dei BMC documentate e iniziare a affrontare i problemi più gravi.
Raccomanda anche diverse misure di rafforzamento di base: utilizzare nomi utente lunghi e unici e password complesse; disabilitare IPMI e KCS quando possibile; bloccare l’accesso dal lato host al BMC; e isolare ogni interfaccia di rete BMC invece di collocare più controller su una VLAN condivisa.
“I BMC sono ancora un rischio sottovalutato,” ha scritto Moore. “Questo lavoro indica che l’ecosistema è ben al di sotto della curva in termini di qualità del codice e architettura.”
Messaggi simili:
- Rilasciato Micropatch per Critica Vulnerabilità Zero-Day su Tre Generazioni di Windows
- Migliaia di Router Asus Violati dal Backdoor “ViciousTrap” – Proteggi Subito il Tuo!
- Facile da indovinare, difficile da credere: le password più comuni d’America
- Sì, le 10 password peggiori includono ancora “password” e “segreta”
- Apple risolve due vulnerabilità zero-day su sistemi macOS Intel: Aggiornate Subito!
Nicola Costanzo esplora il mondo della tecnologia e dell’innovazione. I suoi articoli illuminano le sfide digitali che plasmano il nostro futuro.