Auf den Punkt: Knapp 25.000 öffentlich exponierte BMCs geben sich über die 20 Jahre alte CVE-2013-4786 angreifbar, was Attackern direkten Zugriff auf Server-Hardware und potentiell die gesamte Verwaltungsinfrastruktur ermöglicht.
Mehr als 24.000 öffentlich erreichbare Baseboard Management Controller (BMC) geben Authentifizierungs-Hashes preis, die sich offline zu Passwörtern zurückrechnen lassen. Die Ursache ist CVE-2013-4786, eine bekannte Schwäche im IPMI-2.0-Protokoll, die seit der Entdeckung vor knapp 20 Jahren nicht flächendeckend behoben wurde.
Die Sicherheitsfirma Lava hat in ihrer Analyse 36.872 über UDP-Port 623 erreichbare IPMI-Dienste gefunden. Bei 24.650 dieser Systeme ließ sich Authentifizierungsmaterial abgreifen, das für Offline-Passwort-Angriffe mittels GPU-Systemen genutzt werden kann. 6.240 Systeme akzeptierten leere Benutzernamen mit schwachen Passwörtern, weitere 2.340 Instanzen verwendeten Passwörter, die in öffentlichen Wörterbüchern enthalten sind. Die geografische Verteilung zeigt die USA mit 39 Prozent der anfälligen Server.
Ein Großteil der betroffenen Systeme stammt von Supermicro und nutzt werksseitig das Format eines zehnstelligen, auf dem Gehäuse aufgedruckten Passworts in Großbuchstaben mit dem identischen Benutzernamen ADMIN. Dieses Standardformat macht das Offline-Knacken praktikabel, obwohl es theoretisch ausreichend Entropie bietet. HPE-Systeme erfordern nach Schätzung der Forscher etwa einen Tag Rechenzeit pro abgefangener Authentifizierungsantwort zum Zurückrechnen des werksseitigen Passworts.
Die Schwachstelle CVE-2013-4786 im IPMI-2.0-Protokoll (eingeführt 2004) erlaubt es Angreifern, Authentifizierungsantworten abzufangen und offline zu attackieren. Ein kompromittierter BMC verschafft direkten Zugriff auf Low-Level-Konfigurationen des physischen Servers, ermöglicht das Einspielen von Firmware-Updates und umgeht klassische Sicherheitslösungen. Die wiederhergestellten Zugangsdaten funktionieren nach Erfahrung der Lava-Forscher häufig auch für andere Verwaltungsschnittstellen in der gleichen Infrastruktur.
Kritisch ist die Situation insbesondere in KI-Umgebungen mit unzureichender Segmentierung, wo ein einzelner kompromittierter GPU-Server über Virtualisierung oder GPU-Partitionierung mehrere Mandanten-Workloads gleichzeitig unterstützt. Eine Kompromittierung könnte hier mehrere Kunden-Workloads offenlegen oder unterbrechen. Während der Untersuchung entdeckten die Forscher auch eine öffentlich erreichbare HPE-iLO-4-Anmeldeseite mit einem Erpressungshinweis, der eine Zahlung von 0,3 Bitcoin forderte.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.