Más de 24.000 interfaces BMC exponen hashes de autenticación y ponen en jaque la seguridad de centros de datos
## Introducción
En las últimas semanas, un análisis exhaustivo ha sacado a la luz una amenaza crítica que afecta al corazón de la infraestructura TI global: más de 24.000 interfaces de gestión de servidores accesibles por internet filtran hashes de autenticación incluso antes de que se produzca el inicio de sesión. Esta vulnerabilidad, de origen antiguo y asociada a los sistemas de gestión de placas base (BMC, Baseboard Management Controller), supone un riesgo sustancial para centros de datos, proveedores cloud y empresas con infraestructuras propias, abriendo la puerta a ataques de compromiso persistente y escalada de privilegios.
## Contexto del Incidente o Vulnerabilidad
La vulnerabilidad afecta a interfaces de administración remota implementadas en BMCs, elementos esenciales para la gestión fuera de banda de servidores físicos. Estos dispositivos, presentes en fabricantes líderes como Dell (iDRAC), HPE (iLO), Supermicro (IPMI), Lenovo y Cisco, permiten el control y la monitorización del hardware incluso cuando el sistema operativo está apagado o inaccesible. Sin embargo, la exposición de interfaces BMC a internet sin medidas de protección adecuadas es una práctica desaconsejada por la mayoría de fabricantes y expertos en ciberseguridad.
El fallo reside en la manera en que ciertos firmwares antiguos manejan solicitudes de autenticación: ante una simple petición no autenticada, devuelven los hashes criptográficos de las credenciales de acceso, facilitando su captura y posterior crackeo offline. Esta debilidad, cuya raíz se remonta a implementaciones IPMI 2.0 de hace más de una década, ha sido identificada masivamente en dispositivos que siguen operativos y accesibles desde redes públicas.
## Detalles Técnicos
El problema está catalogado bajo el identificador [CVE-2013-4784](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4784), un CVE que, pese a su antigüedad, continúa vigente por la falta de actualización y el ciclo de vida extendido de hardware en entornos críticos. El protocolo IPMI 2.0, ampliamente utilizado para la administración remota de servidores, implementa un proceso de autenticación basada en desafío-respuesta (challenge-response). Sin embargo, en implementaciones vulnerables, el BMC responde a solicitudes de autenticación enviando directamente el hash SHA1 o MD5 de la contraseña del usuario administrador.
### Vectores de Ataque y Herramientas Disponibles
Un atacante puede utilizar herramientas automatizadas, como scripts en Python o módulos específicos de Metasploit y CrackMapExec, para rastrear rangos de IPs en busca de interfaces BMC vulnerables. Una vez obtenidos los hashes, estos pueden ser sometidos a ataques de fuerza bruta o diccionario utilizando herramientas como Hashcat o John the Ripper. Según los datos publicados, más de 24.000 interfaces expuestas han sido identificadas mediante escaneos masivos en Shodan y Censys, principalmente en centros de datos de EE.UU., Europa y Asia.
En la taxonomía MITRE ATT&CK, el ataque se clasifica principalmente como “Credential Access” (T1110: Brute Force) y “Valid Accounts” (T1078), ya que permite a los adversarios obtener credenciales válidas para acceder y persistir en la infraestructura comprometida.
### Indicadores de Compromiso (IoC)
– Tráfico anómalo hacia el puerto 623/UDP (IPMI) y 443/TCP (interfaces web BMC).
– Solicitudes repetidas de autenticación sin completarse, seguidas de respuestas con hashes.
– Aumentos inusuales en la actividad de login fallidos en logs de BMC.
## Impacto y Riesgos
La explotación exitosa de esta vulnerabilidad otorga a los atacantes acceso a privilegios de administración de hardware, permitiendo desde la manipulación de firmware, el montaje de discos virtuales y la redirección de la consola KVM, hasta la instalación de rootkits persistentes o la extracción de datos sensibles. El impacto potencial es devastador: un actor malicioso puede tomar el control total del servidor, eludir sistemas de seguridad basados en el SO y establecer un punto de acceso encubierto en la red corporativa.
Según estimaciones recientes, el coste medio de una brecha de seguridad en centros de datos supera los 4 millones de dólares (IBM Cost of a Data Breach Report 2023). Además, la exposición de datos personales o confidenciales puede acarrear sanciones bajo normativas como el RGPD (GDPR) y la directiva NIS2, especialmente en sectores regulados.
## Medidas de Mitigación y Recomendaciones
– **Actualizar firmware**: Comprobar y actualizar el firmware de los BMC afectados a la versión más reciente disponible que corrija la fuga de hashes.
– **Segmentación de red**: Aislar interfaces BMC en redes internas no accesibles desde internet, utilizando VLANs y firewalls.
– **Acceso restringido**: Implementar acceso mediante VPN, listas de control de acceso (ACLs) y autenticación multifactor.
– **Deshabilitar protocolos inseguros**: Evitar el uso de IPMI 2.0 en modo heredado o sin cifrado.
– **Monitorización y alertas**: Registrar y auditar el acceso a BMCs, estableciendo alertas ante intentos de acceso sospechosos.
– **Inventario y exposición**: Realizar inventarios periódicos de activos expuestos y escaneos con herramientas como Nmap, Nessus o Qualys.
## Opinión de Expertos
Especialistas como Alex Matrosov (Binarly) y Michael Lynn (Security Research Labs) advierten que la “pereza operativa” y la “falsa sensación de seguridad” son factores clave en la persistencia de estos fallos. “La gestión de firmware y la reducción de la superficie de ataque deben ser prioridades absolutas para los CISOs, especialmente cuando hablamos de componentes con acceso al hardware físico”, subraya Matrosov. Lynn añade: “El ciclo de vida extendido del hardware en centros de datos es un riesgo subestimado. La estrategia debe ser proactiva y no reactiva”.
## Implicaciones para Empresas y Usuarios
Las organizaciones deben reevaluar urgentemente la exposición de sus interfaces de administración remota. En el contexto de la directiva NIS2, la falta de medidas para asegurar dispositivos críticos puede considerarse una violación grave de las obligaciones de ciberseguridad. Para los usuarios finales y clientes de servicios cloud, la transparencia sobre el estado de seguridad de la infraestructura subyacente es ya un criterio de selección clave.
## Conclusiones
La persistencia de vulnerabilidades en interfaces BMC subraya la importancia de adoptar una estrategia de defensa en profundidad y de mantener una gestión activa del ciclo de vida de hardware y firmware. La actualización, el aislamiento y la monitorización deben ser pilares fundamentales de cualquier política de seguridad en infraestructuras críticas. Ignorar estos riesgos equivale a dejar la puerta abierta a atacantes en el núcleo de nuestros sistemas.
(Fuente: www.securityweek.com)