Onderzoekers hebben op internet ruim 24.000 Baseboard Management Controllers (BMC's) ontdekt die via een dertien jaar oude kwetsbaarheid wachtwoordhashes lekken, die vervolgens te kraken zijn. Een BMC is een microcontroller op het moederbord van servers, waarmee beheerders de machines op afstand kunnen beheren, ongeacht het besturingssysteem en ongeacht of de server is ingeschakeld.

De BMC's waarover cybersecuritybedrijf Lava bericht maken gebruik van de Intelligent Platform Management Interface (IPMI). Dit protocol is ontwikkeld voor remote beheer van fysieke servers. De eerste versie van IPMI verscheen in 1998, gevolgd door IPMI 2.0 in 2004. Deze versie bevat een kwetsbaarheid die het voor aanvallers mogelijk maakt om de wachtwoordhashes van de BMC te achterhalen.

Tijdens het inloggen stuurt de server een bericht terug met de hash van gebruiker, zonder dat de BMC het door de gebruiker opgegeven wachtwoord controleert. Zo hoeft een aanvaller alleen over een geldige gebruikersnaam te beschikken om de wachtwoordhash in handen te krijgen. Het is echter ook mogelijk voor een aanvaller om via het versturen van een request te zien of een gebruikersnaam op de BMC bestaat of niet.

Het probleem (CVE-2013-4786) werd in juli 2013 geopenbaard. Een update is niet beschikbaar, omdat het probleem inherent aan de specificatie is. Mitigaties zijn het uitschakelen van IPMI over LAN, het blokkeren van UDP-poort 623 en het gebruik van sterke wachtwoorden om te voorkomen dat aanvallers de wachtwoordhash kraken. Er is echter ook een moderne vervanger van IPMI 2.0 genaamd Redfish.

Onderzoekers ontdekten op internet meer dan 24.600 server-BMC's die nog altijd van IPMI 2.0 gebruikmaken en de wachtwoordhash lekken. "Meer dan dertig procent van de ontvangen hashes was van wachtwoorden die waren te achterhalen via veelvoorkomende woordenlijsten en voorspelbare formaten van fabrieksstickers die op de behuizing staan", zo stellen ze. Zodra aanvallers toegang tot de BMC en daarmee de server hebben kunnen ze verdere aanvallen uitvoeren.

Veel van de gevonden BMC's bleken van Supermicro te zijn. De fabrikant blijkt voor veel wachtwoorden de tien karakters te gebruiken die op de sticker van de behuizing staan. De onderzoekers waarschuwden Supermicro, dat vervolgens aangaf het wachtwoordbeleid mogelijk te zullen aanpassen, waaronder met langere wachtwoorden of een uitgebreidere verzameling karakters.