CVE-2013-4786 tem 13 anos, 24.650 BMC ainda expõem seu hash IPMI antes do login

Lavei a escaneado a rede em maio de 2026: 36.872 interfaces BMC expostas, das quais 24.650 revelam a hash IPMI com apenas um pedido RAKP. Uma falha de especificação com 13 anos, sem patch possível, com Supermicro, HPE iLO e Dell na linha de frente.

Os fatos

O gabinete Lava, com o pesquisador Michael Katchinskiy, publicou em 28 de julho de 2026 uma varredura global das interfaces BMC (Baseboard Management Controller - o chip de administração fora de banda presente na maioria dos servidores, como Supermicro IPMI, HPE iLO, Dell iDRAC).

Dados brutos, campanha datada de 6 de maio de 2026:

• 36.872 BMC expostos à internet e respondendo ao IPMI
• 24.650 deles (≈ 67%) respondem ao protocolo RAKP (RMCP+ Authenticated Key-Exchange Protocol) e divulgam um hash HMAC da senha sem autenticação
• 6.240 aceitam sessões com nome de usuário vazio e senha fraca
• 2.340+ expõem hashes correspondentes a dicionários públicos (contas ADMIN, root)
• > 30% dos hashes recuperados correspondem a padrões de senhas de fábrica

Distribuição: mais de 14.000 nos Estados Unidos, o restante concentrado na Alemanha, China, Países Baixos e Reino Unido.

A análise - uma falha de especificação, não de bug

Isso não é uma nova vulnerabilidade. Trata-se da CVE-2013-4786 (CVSS 7.5), documentada há 13 anos. O problema está na própria especificação IPMI 2.0: o protocolo RAKP foi projetado para permitir que um cliente não autenticado teste senhas offline — é uma propriedade de design, não um erro de implementação.

Em termos práticos: um atacante envia uma requisição RAKP Message 1 para a porta UDP/623, a BMC responde com um RAKP Message 2 que contém um HMAC(senha, dados). O atacante obtém esse HMAC e quebra a senha em seu próprio hardware, sem nunca mais entrar em contato com o alvo — portanto, sem limite de taxa, sem bloqueio, sem logs.

A Dell escreveu isso de forma explícita em seus comunicados: « um problema inerente à especificação ». Não haverá correção, porque não há o que corrigir do lado do fabricante. A Lava indica que as senhas de fábrica da Supermicro são quebradas em ~1 hora em hardware comum, as da HPE iLO em minutos.

O que isso muda

Uma BMC comprometida = acesso root total no servidor físico, com acesso KVM, controle de energia, montagem remota de ISO. É o pior tipo de acesso que se pode dar a um atacante. O fato de 24.650 BMC ainda estarem acessíveis pela internet em 2026, muitos deles com senhas de fábrica, é um número a se levar a sério — especialmente agora que campanhas de ransomware miram explicitamente as camadas de administração fora de banda.

Concentração nos EUA (>14.000): forte sinal de data centers históricos, colocation e provedores mid-market que esqueceram da porta 623 em suas ACLs.

O que fazer agora

• Nunca expor a porta UDP/623 na internet. Ponto final. É uma decisão de firewall, não de configuração da BMC.
• Isolar a rede BMC em uma VLAN dedicada, acessível apenas via bastion/VPN.
• Alterar todas as senhas de fábrica, impor senhas fortes (>16 caracteres aleatórios — o HMAC RAKP será quebrado, então quanto mais complexo, melhor).
• Desativar o cipher suite 0 (autenticação nula) e o RAKP quando o fabricante permitir (Redfish HTTPS é preferível ao IPMI legado).
• Auditar com ipmitool -I lanplus a partir de um scanner interno para detectar BMCs esquecidas.

O verdadeiro desafio não é corrigir o IPMI — é aceitar que o IPMI não tem lugar frente à internet.