Una falla de 2013 en IPMI deja 24,000 servidores entregando hashes de contraseña antes del login
La firma Lava contabilizó unos 37,000 interfaces de gestión de servidores accesibles desde internet, con más de 24,000 afectados por CVE-2013-4786, un defecto del protocolo IPMI 2.0 introducido en 2004.
La firma de seguridad para centros de datos Lava publicó un censo de interfaces de gestión fuera de banda expuestos a internet. El resultado: aproximadamente 37,000 controladores de gestión de placa base — BMC, por sus siglas en inglés — responden desde direcciones públicas, y más de 24,000 de ellos entregan material criptográfico derivado de la contraseña antes de que exista una sesión autenticada.
El defecto
La causa es CVE-2013-4786, una debilidad incorporada al protocolo de autenticación de IPMI 2.0 en 2004 y documentada públicamente en 2013. Un tercero que alcance el puerto UDP 623 puede solicitar el mensaje 2 del intercambio RAKP y recibir de vuelta un hash HMAC-SHA1 calculado sobre la contraseña de la cuenta. Con ese material, el ataque de fuerza bruta ocurre fuera de línea, sin intentos fallidos visibles y sin bloqueos de cuenta.
Lava documentó también condiciones que hacen innecesario ese esfuerzo: 6,240 equipos aceptan un nombre de usuario vacío acompañado de una contraseña débil, y 2,340 emplean cuentas nombradas — Admin, root — con claves presentes en diccionarios públicos. Varios fabricantes despachan sus BMC con formatos de contraseña de fábrica restringidos y predecibles.
Por qué importa el plano de gestión
El BMC opera con independencia del sistema operativo del servidor. Enciende, apaga, monta medios virtuales, actualiza firmware y accede a la consola. Un acceso con privilegios en ese plano equivale a acceso físico al equipo, sin ninguno de los controles que protegen la puerta del rack.
Lectura de Tabuga Intelligence
La cifra que ordena el análisis es el año: 2004. Este defecto lleva veintidós años en el diseño del protocolo y trece en el dominio público. Su persistencia habla menos de dificultad técnica y más de un patrón organizacional bien conocido en la región — la infraestructura de gestión queda fuera del alcance de las auditorías porque nadie la reclama como propia. El equipo de sistemas la considera hardware; el de seguridad, plomería.
Para operadores dominicanos de centros de datos y para empresas con servidores colocados en facilidades de terceros, la acción concreta es verificable en una tarde: escanear el rango público propio por UDP 623, confirmar que ningún BMC responde y, cuando aparezca alguno, moverlo a una red de gestión segmentada con acceso por VPN. La rotación de las contraseñas de fábrica va en la misma pasada.
El punto estructural para las contrataciones de infraestructura es exigir que el proveedor documente explícitamente cómo aísla el plano de gestión, con la misma formalidad con que se pide el certificado de disponibilidad.