Twoje dane na wyciągnięcie kursora. Bo przyoszczędzili na serwerach
Tysiące serwerów z podatnymi układami BMC. Branża obiecywała poprawę, a wyszło jak zwykle.
W świecie bezpieczeństwa IT jest kilka tematów, które wracają jak bumerang. Jednym z nich są BMC - te niepozorne, małe komputery wbudowane w płyty główne serwerów, które mają ułatwiać życie administratorom. W teorii pozwalają zarządzać maszyną nawet wtedy, gdy ta jest wyłączona, nie odpowiada albo właśnie przechodzi swój piąty crash w ciągu dnia. W praktyce - jak pokazują najnowsze badania – stanowią gigantyczny, wciąż niedoszacowany wektor ataku, który można wykorzystać do przejęcia kontroli nad całymi centrami danych.
Nowe doniesienia Ars Technica z konferencji Black Hat w Las Vegas pokazują, że problem jest znacznie większy, niż branża chciałaby przyznać. I że nie chodzi o jedną lukę, nie o jednego producenta, nie o jedną wersję firmware’u. To jest systemowy kryzys jakości, który ciągnie się od ponad dekady.
Czytaj też:
BMC: mały komputer, wielki problem
Baseboard Management Controller to osobny układ z własnym systemem operacyjnym, własnym stosikiem sieciowym i własnym adresem IP. Działa niezależnie od serwera, który ma pod sobą. To właśnie dzięki BMC administrator może zdalnie zrestartować maszynę, zainstalować aktualizacje, a nawet przeprowadzić pełną reinstalację systemu operacyjnego. „Lights out management” - piękna idea.
Problem w tym, że BMC to równoległy komputer, który często jest traktowany jak piwnica w domu: niby jest, niby coś tam stoi, ale nikt nie zagląda, bo przecież „działa”. A jak działa, to po co ruszać.
Badacz HD Moore z firmy runZero postanowił zajrzeć do tej piwnicy. I znalazł tam nie tylko kurz, ale też otwarte drzwi, wybite okna i klucze leżące na wycieraczce.
86 tys. podatnych BMC w sieci publicznej. 75 tys. wciąż dziurawych od 2013 r.
Moore przeprowadził dwa duże skany: jeden obejmujący urządzenia wystawione do Internetu, drugi - wewnętrzne sieci korporacyjne. Wyniki są, delikatnie mówiąc, niepokojące.
W Internecie znalazł ponad 86 tys. BMC wystawionych publicznie. Ponad 54 proc. z nich miało co najmniej jedną krytyczną podatność. Co gorsza, aż 75 tys. nadal jest podatnych na lukę CVE-2013-4786 - tak, tę samą, którą opisano trzynaście lat temu.
W sieciach wewnętrznych sytuacja nie wygląda dużo lepiej. Na 126 761 przebadanych BMC prawie 29 proc. miało krytyczne luki.
Lista grzechów jest długa. I rośnie z dnia na dzień
Moore odkrył ponad tuzin nowych podatności w produktach HPE, Supermicro, Avocenta, Huaweia, Lenovo, Della i innych. Wśród najpoważniejszych problemów znajdują się błędy w protokole IPMI - tym samym, który pozwala BMC działać niezależnie od serwera. W skrócie: można manipulować handshake’iem, przewidywać identyfikatory sesji, wysyłać niepodpisane pakiety w „zabezpieczonych” sesjach, a nawet wykonywać kod przed autoryzacją.
Niektóre błędy są wręcz absurdalne. Na przykład te, które pozwalają wyciągnąć klucze z publicznie dostępnego firmware’u i użyć ich jako danych uwierzytelniających. Albo te, które umożliwiają instalację własnego, złośliwego firmware’u - takiego, które przetrwa reinstalację systemu, wymianę dysku i wszystkie standardowe procedury „czyszczenia”.
To nie teoria. Ataki już się wydarzyły
W 2021 r. odkryto implant ILObleed, który infekował serwery HPE i niszczył dane na dyskach. Nawet po reinstalacji systemu złośliwy kod wracał jak zombie. Atak wykorzystał lukę, którą HPE załatało… cztery lata wcześniej. Administratorzy po prostu nie zainstalowali aktualizacji.
Dlaczego branża nic z tym nie robi?
Bo BMC to niewygodny temat. To warstwa sprzętowo-programowa, która jest trudna do aktualizowania, często zależna od producentów OEM, a do tego - paradoksalnie - rzadko monitorowana. Administratorzy skupiają się na systemach operacyjnych, aplikacjach, kontenerach, chmurze. BMC jest traktowane jak element infrastruktury, który „po prostu działa”.
A działa do momentu, aż ktoś z zewnątrz zacznie nim sterować.
Co można zrobić? I dlaczego to wciąż za mało
Moore udostępnił narzędzie OOBscan, które pozwala przeskanować całą flotę serwerów pod kątem znanych podatności. To dobry krok, ale nie rozwiązuje problemu u źródła.
Branża musi w końcu potraktować BMC jak pełnoprawny system, który wymaga regularnych aktualizacji, izolacji sieciowej, sensownego zarządzania kluczami i porządnego audytu kodu. To równoległy komputer z pełnym dostępem do serwera - Jeśli ktoś szuka idealnego miejsca na backdoor, to właśnie tam.
*Ilustracja otwierająca wygenerowana za pomocą MAI-Image-2.5
Redaktor Spider's Web - ekspert w tematykach Microsoftu i RTV. Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.