Server di grandi marchi vulnerabili a backdoor grazie a difetti nei controller delle schede madri

Millioni di server prodotti da aziende leader come HPE, Supermicro e Dell potrebbero essere compromessi grazie a vulnerabilità critiche presenti nei controller BMC, un problema che persiste da oltre una decina di anni. Secondo un’analisi presentata durante il Black Hat Security Conference, i controller BMC, piccoli computer integrati nelle schede madri, rappresentano un’area di attacco poco monitorata e non sufficientemente patchata. Questi dispositivi, utilizzati per la gestione “out-of-band” dei server, possono essere sfruttati per installare backdoor e ottenere accesso persistente alle infrastrutture aziendali. La ricerca ha evidenziato che il rischio è elevato e l’ecosistema è “ben al di sotto della curva” in termini di qualità del codice e architettura.

Le vulnerabilità sono state segnalate da tempo

Da almeno il 2013, i ricercatori hanno avvertito che i controller BMC offrono un’opportunità unica per gli hacker, grazie alla loro capacità di operare indipendentemente dai server. Il protocollo IPMI, utilizzato per gestire i BMC, è stato sfruttato in passato per eseguire codice malicioso e infettare i server gestiti. Nonostante le patch disponibili, molte installazioni non le hanno applicate, lasciando i dispositivi esposti a rischi significativi. Un esempio recente è stato il caso di ILObleed, un attacco che ha danneggiato i dati su hard disk di server HPE, nonostante la vulnerabilità fosse già patchata. La vulnerabilità sfruttata in quel caso era già stata corretta quattro anni prima, ma non era stata installata nei dispositivi compromessi.

Le nuove scoperte di HD Moore

HD Moore, esperto di sicurezza del firmware e fondatore di runZero, ha identificato oltre una dozzina di nuove vulnerabilità nei controller BMC di produttori come HPE, Supermicro, Dell e altri. Alcune di queste vulnerabilità, segnalate nel 2013, sono ancora attive nonostante le misure di correzione. Moore ha sviluppato un tool open source chiamato OOBscan, che permette agli amministratori di scansionare l’intero parco di server per rilevare le vulnerabilità. Secondo Moore, il rischio è elevato e l’ecosistema è “ben al di sotto della curva” in termini di qualità del codice e architettura. Le vulnerabilità sono state catalogate e alcune sono già state sfruttate in campagne di attacco.

Le vulnerabilità rilevate includono errori di validazione della lunghezza nel servizio SSH di gestione, errori nell’autenticazione IPMI, e la possibilità di installare implanti persistenti o modificare le chiavi di verifica del firmware. Inoltre, alcuni controller BMC utilizzano credenziali recuperabili dal firmware, che possono essere sfruttate per autenticarsi o decrittografare traffico. La mancanza di patch e la complessità dei sistemi di gestione rendono il problema un’area di attacco non trascurabile. Gli amministratori possono mitigare i rischi disattivando IPMI e KCS, utilizzando password complesse e uniche, e isolando le interfacce di rete dei BMC.

La ricerca ha anche evidenziato che il numero di vulnerabilità cresce ogni giorno, rendendo difficile fornire un numero esatto. Inoltre, le informazioni sui bug sono tenute segrete fino a quando i produttori non hanno tempo per applicare le patch. Il rischio rappresentato dai controller BMC è stato sottolineato da Moore, che ha scritto: “I BMC sono ancora un rischio sottostimato”. La mancanza di attenzione e di patching rappresenta un problema grave per le infrastrutture aziendali e i data center.