Más de 36.000 interfaces BMC exponen credenciales vía IPMI en Internet: riesgo crítico para infraestructuras TI
Introducción
El panorama de la ciberseguridad se enfrenta a una nueva amenaza de gran envergadura tras el descubrimiento de más de 36.000 interfaces de gestión Baseboard Management Controller (BMC) expuestas en Internet, con soporte para el protocolo Intelligent Platform Management Interface (IPMI). Un informe reciente de investigadores especializados ha encendido las alarmas, alertando sobre la exposición masiva de estos sistemas críticos, de los cuales cerca del 67% filtran hashes de autenticación derivados de contraseñas antes del proceso de login. Este incidente representa un riesgo considerable para la seguridad de infraestructuras TI, especialmente en centros de datos, proveedores de servicios cloud y entornos empresariales con gestión remota de servidores.
Contexto del Incidente o Vulnerabilidad
Los BMC son componentes fundamentales en la gestión de hardware de servidores, permitiendo la administración remota a nivel de placa base incluso cuando el sistema operativo no está activo. El protocolo IPMI, ampliamente implementado en plataformas empresariales, facilita funciones como la monitorización, el aprovisionamiento y la recuperación de fallos, pero también se ha convertido en un vector de ataque recurrente por su exposición y deficiencias de seguridad históricas.
Según el análisis realizado, 36.872 interfaces BMC con IPMI están accesibles directamente desde Internet, contraviniendo las mejores prácticas recomendadas por fabricantes y organismos de ciberseguridad. De este total, 24.650 dispositivos (aproximadamente el 67%) presentan una vulnerabilidad crítica: la divulgación de hashes de autenticación antes de la autenticación real, lo que permite a un atacante recolectar estos hashes de forma pasiva y posteriormente intentar crackearlos offline.
Detalles Técnicos
La vulnerabilidad identificada afecta principalmente a implementaciones del protocolo IPMI v2.0 en hardware de diversos fabricantes, incluyendo Supermicro, Dell, HP y Lenovo, entre otros. En particular, el fallo reside en la forma en que la autenticación RAKP (Remote Authenticated Key-Exchange Protocol) de IPMI gestiona el intercambio inicial: durante el handshake, el BMC expone hashes SHA1 o HMAC-SHA1 generados a partir de la contraseña del usuario antes de verificar la autenticidad del intento de acceso.
Este comportamiento permite que, mediante herramientas como Metasploit o scripts personalizados en Python, un atacante pueda conectarse a la interfaz IPMI expuesta, solicitar el proceso de autenticación y recibir el hash correspondiente. Posteriormente, estos hashes pueden ser sometidos a ataques de fuerza bruta o diccionario offline utilizando herramientas como Hashcat o John the Ripper, aumentando la probabilidad de comprometer credenciales válidas.
Vector de ataque: Acceso remoto a puertos IPMI (habitualmente 623/UDP y 443/TCP).
TTPs MITRE ATT&CK: T1110 (Brute Force), T1557 (Adversary-in-the-Middle), T1078 (Valid Accounts).
Indicadores de Compromiso (IoC): Conexiones remotas no autorizadas a puertos IPMI, logs de intentos de autenticación fallidos, actividad inusual en la gestión remota BMC.
Actualmente, la vulnerabilidad no ha sido referenciada bajo un CVE específico, aunque existen antecedentes históricos (por ejemplo, CVE-2013-4786) de fallos similares en IPMI.
Impacto y Riesgos
La exposición de interfaces BMC/IPMI a Internet supone un riesgo crítico para la integridad, confidencialidad y disponibilidad de las infraestructuras TI. Un atacante que logre obtener credenciales de acceso puede:
– Manipular configuraciones hardware a bajo nivel.
– Realizar ataques persistentes y difíciles de detectar.
– Desplegar malware o backdoors en la cadena de arranque.
– Apagar, reiniciar o modificar el funcionamiento de servidores críticos.
– Eludir controles de seguridad tradicionales al operar fuera del sistema operativo.
Dadas las capacidades de los BMC y el acceso privilegiado que otorgan, un compromiso puede derivar en incidentes de ransomware, sabotaje de servicios o robo de información altamente sensible, afectando tanto a la operativa como al cumplimiento normativo (GDPR, NIS2).
Medidas de Mitigación y Recomendaciones
Para mitigar el riesgo, se recomienda:
– Desconectar inmediatamente las interfaces BMC/IPMI de la exposición directa a Internet.
– Implementar segmentación de red y filtrado de acceso (firewall) restringiendo el tráfico a estas interfaces exclusivamente desde redes internas y segmentadas.
– Aplicar actualizaciones de firmware proporcionadas por el fabricante que corrijan la implementación insegura de IPMI.
– Utilizar autenticación multifactor (MFA) si es compatible.
– Monitorizar y auditar periódicamente los logs de acceso y las configuraciones de los BMC.
– Cambiar credenciales por defecto y utilizar contraseñas robustas, evitando reutilización de contraseñas corporativas.
– Evaluar el uso de VPN o jump hosts para la administración remota de BMC.
Opinión de Expertos
Especialistas en ciberseguridad subrayan que la exposición de interfaces de gestión a Internet sigue siendo uno de los errores más graves en la arquitectura de redes empresariales. “El acceso remoto sin control a BMCs puede facilitar ataques de persistencia avanzados y comprometer la recuperación ante incidentes”, señala Pablo Fernández, analista SOC. Por su parte, Marta Ruiz, consultora de cumplimiento, recuerda la relevancia del principio de mínimo privilegio y la necesidad de revisar la superficie de exposición regularmente.
Implicaciones para Empresas y Usuarios
La explotación de esta vulnerabilidad puede tener consecuencias legales y económicas significativas, especialmente bajo los marcos regulatorios actuales como GDPR o NIS2, que exigen la protección de infraestructuras críticas y la notificación de brechas de seguridad. Las organizaciones deben priorizar la revisión de su inventario de activos y adoptar una defensa en profundidad para minimizar la exposición de interfaces administrativas.
Conclusiones
La exposición masiva de BMCs con IPMI a Internet representa una amenaza de primer orden para la seguridad de las infraestructuras empresariales. La facilidad para obtener hashes de autenticación y el acceso privilegiado que proporcionan estos sistemas subrayan la urgencia de adoptar medidas correctivas inmediatas. La seguridad en la gestión remota debe basarse en la segmentación, el control de acceso y la actualización constante, evitando la complacencia en la protección de componentes críticos.
(Fuente: feeds.feedburner.com)