CVE-2013-4786 уже 13 лет, и 24 650 BMC по-прежнему раскрывают свой хэш IPMI перед входом

Лава просканировал сеть в мае 2026 года: 36 872 интерфейса BMC были exposed, из которых 24 650 отдают хэш IPMI при простом запросе RAKP. Уязвимость спецификации возрастом 13 лет, без возможности патчинга, с Supermicro, HPE iLO и Dell в первых рядах.

Факты

Компания Lava вместе с исследователем Майклом Качински опубликовала 28 июля 2026 года глобальное сканирование интерфейсов BMC (Baseboard Management Controller — микросхемы внеполосного администрирования, присутствующие на большинстве серверов, таких как Supermicro IPMI, HPE iLO, Dell iDRAC).

Сухие цифры, кампания от 6 мая 2026 года:

• 36 872 BMC, доступных из интернета и поддерживающих IPMI
• 24 650 из них (≈ 67 %) отвечают на протокол RAKP (RMCP+ Authenticated Key-Exchange Protocol) и раскрывают HMAC-хеш пароля без аутентификации
• 6 240 принимают сессии с пустым именем пользователя и слабым паролем
• 2 340+ раскрывают хеши, соответствующие общедоступным словарям (учётные записи ADMIN, root)
• > 30 % извлечённых хешей соответствуют заводским шаблонам паролей

Распределение: более 14 000 в США, остальные сосредоточены в Германии, Китае, Нидерландах и Великобритании.

Анализ — уязвимость спецификации, а не бага

Это не новая уязвимость. Это CVE-2013-4786 (CVSS 7.5), задокументированная уже 13 лет. Проблема кроется в самой спецификации IPMI 2.0: протокол RAKP был разработан для того, чтобы неаутентифицированный клиент мог тестировать пароли офлайн — это свойство дизайна, а не ошибка реализации.

Конкретно: злоумышленник отправляет запрос RAKP Message 1 на UDP/623, BMC отвечает RAKP Message 2, содержащим HMAC(пароль, данные). Злоумышленник получает этот HMAC и взламывает пароль на своём оборудовании, не контактируя с целью повторно — то есть без ограничения по скорости, блокировки или логов.

Dell прямо указала в своих рекомендациях: «inherent problem with the specification». Патча не будет, потому что нечего исправлять на стороне вендора. Lava указывает, что заводские пароли Supermicro взламываются за ~1 час на обычном оборудовании, а пароли HPE iLO — за несколько минут.

Что изменилось

Скомпрометированная BMC = полный root-доступ к физическому серверу, включая KVM, управление питанием, удалённое монтирование ISO. Это худший тип доступа, который можно предоставить злоумышленнику. Тот факт, что 24 650 BMC всё ещё доступны из интернета в 2026 году, многие из которых с заводскими паролями, — цифра, которую стоит воспринимать всерьёз, особенно в условиях, когда кампании по вымогательскому ПО целенаправленно атакуют внеполосные административные слои.

Концентрация в США (>14 000): тревожный сигнал для традиционных дата-центров, хостинг-провайдеров среднего рынка, которые забыли про порт 623 в своих ACL.

Что делать сейчас

• Никогда не открывайте UDP/623 в интернет. Точка. Это решение на уровне файрвола, а не конфигурации BMC.
• Изолируйте сеть BMC в отдельном VLAN, доступ к которому осуществляется только через бастион/VPN.
• Измените все заводские пароли, установите сложные пароли (>16 случайных символов — HMAC RAKP всё равно взламывается, так что усложните задачу).
• Отключите cipher suite 0 (auth null) и RAKP, если это позволяет вендор (Redfish HTTPS предпочтительнее устаревшего IPMI).
• Проведите аудит с помощью ipmitool -I lanplus из внутреннего сканера, чтобы обнаружить забытые BMC.

Настоящая задача — не исправлять IPMI, а признать, что IPMI не должен быть доступен из интернета.