CVE-2013-4786 ist 13 Jahre alt, 24.650 BMC zeigen immer noch ihren IPMI-Hash vor dem Login

Lava hat das Netz im Mai 2026 gescannt: 36.872 BMC-Schnittstellen waren exponiert, davon 24.650 geben den IPMI-Hash auf einfache RAKP-Anfrage preis. Ein 13 Jahre alter Spezifikationsfehler, ohne mögliches Patch, mit Supermicro, HPE iLO und Dell in vorderster Linie.

Die Fakten

Das Büro Lava, mit dem Forscher Michael Katchinskiy, veröffentlichte am 28. Juli 2026 einen globalen Scan der BMC-Schnittstellen (Baseboard Management Controller - der Out-of-Band-Administration-Chip, der auf den meisten Servern vorhanden ist, z. B. Supermicro IPMI, HPE iLO, Dell iDRAC).

Rohdaten, Kampagne vom 6. Mai 2026:

• 36.872 BMCs sind im Internet exponiert und sprechen IPMI
• 24.650 davon (≈ 67 %) antworten auf das RAKP-Protokoll (RMCP+ Authenticated Key-Exchange Protocol) und offenbaren einen HMAC-Hash des Passworts ohne Authentifizierung
• 6.240 akzeptieren Sitzungen mit leerem Benutzernamen und schwachem Passwort
• 2.340+ exponieren Hashes, die öffentlichen Wörterbüchern entsprechen (Konten ADMIN, root)
• > 30 % der abgerufenen Hashes passen zu Mustern von Werkspasswörtern

Verteilung: mehr als 14.000 in den Vereinigten Staaten, der Rest konzentriert sich auf Deutschland, China, Niederlande und das Vereinigte Königreich.

Die Analyse - ein Spezifikationsfehler, kein Bug

Dies ist keine neue Schwachstelle. Es ist CVE-2013-4786 (CVSS 7.5), dokumentiert seit 13 Jahren. Das Problem liegt in der IPMI 2.0-Spezifikation selbst: Das RAKP-Protokoll wurde so entworfen, dass ein nicht authentifizierter Client Passwörter offline testen kann - es ist eine Designeigenschaft, kein Implementierungsfehler.

Konkreter: Ein Angreifer sendet eine RAKP-Nachricht 1 über UDP/623, die BMC antwortet mit einer RAKP-Nachricht 2, die einen HMAC(passwort, daten) enthält. Der Angreifer verlässt mit diesem HMAC und knackt das Passwort auf seiner eigenen Hardware, ohne die Zielvorrichtung jemals wieder zu kontaktieren - also ohne Rate-Limiting, ohne Sperrung, ohne Protokollierung.

Dell hat es in seinen Advisories schwarz auf weiß geschrieben: « ein inhärentes Problem mit der Spezifikation ». Es wird kein Patch geben, weil es nichts zu patchen gibt, was den Anbieter betrifft. Lava gibt an, dass die Supermicro-Werkspasswörter auf Standardhardware in ~1 Stunde geknackt werden, die von HPE iLO in Minuten.

Was sich ändert

Eine kompromittierte BMC = Vollzugriff auf den physischen Server mit KVM-Zugriff, Stromkontrolle, Remote-Mounting von ISO. Es ist der schlimmste Zugriffstyp, den man einem Angreifer geben kann. Die Tatsache, dass 24.650 BMCs im Jahr 2026 noch aus dem Internet zugänglich sind, viele davon mit Werkspasswörtern, ist eine Zahl, die ernst genommen werden muss - besonders in einer Zeit, in der Ransomware-Kampagnen explizit die Out-of-Band-Administrationsebenen ins Visier nehmen.

Amerikanische Konzentration (>14.000): starkes Signal für historische Rechenzentren, Colocation-Anbieter und Mid-Market-Hoster, die den Port 623 in ihrer ACL vergessen haben.

Was jetzt zu tun ist

Rahmen - sofort umzusetzen

• UDP/623 niemals im Internet exponieren. Punkt. Es ist eine Firewall-Entscheidung, keine BMC-Konfiguration.
• Das BMC-Netzwerk auf ein dediziertes VLAN isolieren, das nur über Bastion/VPN zugänglich ist.
• Alle Werkspasswörter ändern, starke Passwörter (>16 zufällige Zeichen - der RAKP-HMAC wird geknackt, also geben Sie ihm etwas Mühe) erzwingen.
• Den Cipher-Suite 0 (Auth null) und RAKP deaktivieren, wenn der Anbieter dies zulässt (Redfish HTTPS ist IPMI Legacy vorzuziehen).
• Mit ipmitool -I lanplus von einem internen Scanner aus auditen, um vergessene BMCs zu erkennen.

Das eigentliche Projekt besteht nicht darin, IPMI zu patchen - es besteht darin, zu akzeptieren, dass IPMI nichts im Internet zu suchen hat.