CVE-2013-4786 a 13 ans, 24 650 BMC exposent toujours leur hash IPMI avant login

Lava a scanné le net en mai 2026 : 36 872 interfaces BMC exposées, dont 24 650 crachent le hash IPMI sur simple requête RAKP. Une faille de spec vieille de 13 ans, sans patch possible, avec Supermicro, HPE iLO et Dell en première ligne.

Les faits

Le cabinet Lava, avec le chercheur Michael Katchinskiy, a publié le 28 juillet 2026 un scan mondial des interfaces BMC (Baseboard Management Controller - la puce d'administration hors-bande présente sur la plupart des serveurs, type Supermicro IPMI, HPE iLO, Dell iDRAC).

Chiffres bruts, campagne datée du 6 mai 2026 :

• 36 872 BMC exposés à internet et parlant IPMI
• 24 650 d'entre eux (≈ 67 %) répondent au protocole RAKP (RMCP+ Authenticated Key-Exchange Protocol) et divulguent un hash HMAC du mot de passe sans authentification
• 6 240 acceptent des sessions avec username vide et mot de passe faible
• 2 340+ exposent des hashes correspondant à des dictionnaires publics (comptes ADMIN, root)
• > 30 % des hashes récupérés matchent des patterns de mots de passe usine

Répartition : plus de 14 000 aux États-Unis, le reste concentré en Allemagne, Chine, Pays-Bas et Royaume-Uni.

L'analyse - une faille de spec, pas de bug

Ceci n'est pas une nouvelle vulnérabilité. C'est CVE-2013-4786 (CVSS 7.5), documentée depuis 13 ans. Le problème est dans la spécification IPMI 2.0 elle-même : le protocole RAKP a été conçu pour permettre à un client non authentifié de tester des mots de passe hors-ligne - c'est une propriété de design, pas une erreur d'implémentation.

Concrètement : un attaquant envoie une requête RAKP Message 1 sur UDP/623, la BMC répond avec un RAKP Message 2 qui contient un HMAC(mdp, données). L'attaquant repart avec ce HMAC et casse le mot de passe sur son propre matériel, sans jamais recontacter la cible - donc sans rate limit, sans lockout, sans log.

Dell l'a écrit noir sur blanc dans ses advisories : « an inherent problem with the specification ». Il n'y aura pas de patch, parce qu'il n'y a rien à patcher côté vendor. Lava indique que les mots de passe usine Supermicro se cassent en ~1 heure sur matériel courant, ceux des HPE iLO en minutes.

Ce que ça change

Une BMC compromise = full-root sur le serveur physique, avec accès KVM, contrôle de l'alimentation, montage d'ISO à distance. C'est le pire type d'accès qu'on puisse donner à un attaquant. Le fait que 24 650 BMC soient encore accessibles depuis internet en 2026, dont beaucoup avec des mots de passe usine, est un chiffre à prendre au sérieux - surtout à l'heure où les campagnes de ransomware ciblent explicitement les couches d'admin hors-bande.

Concentration américaine (>14 000) : signal fort côté data centers historiques, colocs et hébergeurs mid-market qui ont oublié le port 623 de leur ACL.

Que faire maintenant

Encadré - à faire maintenant

• Ne jamais exposer UDP/623 sur internet. Point. C'est une décision de firewall, pas de config BMC.
• Isoler le réseau BMC sur un VLAN dédié, accessible uniquement via bastion/VPN.
• Changer tous les mots de passe usine, imposer des mots de passe forts (>16 caractères aléatoires - le HMAC RAKP se craque, autant lui donner de la peine).
• Désactiver le cipher suite 0 (auth null) et RAKP quand le vendor le permet (Redfish HTTPS reste préférable à IPMI hérité).
• Auditer avec ipmitool -I lanplus depuis un scanner interne pour détecter les BMC oubliées.

Le vrai chantier n'est pas de patcher IPMI - c'est d'accepter qu'IPMI n'a rien à faire face à internet.