企业服务器操作系统底层的无人地带正成为恶意攻击者的下一个目标。据数据中心安全公司Lava的研究人员披露攻击者正通过利用基板管理控制器BMC的安全漏洞渗透进入更广泛的数据中心环境。这些BMC设备普遍缺乏保护仍在运行数十年前的老旧协议并且存在一个早在13年前便已公开披露的安全漏洞。Lava红队研究人员发现BMC为服务器提供无需物理接触的带外远程控制能力而他们仅凭猜测基础密码就能在数分钟内成功入侵BMC。其中Supermicro和HPE服务器上的BMC受影响最为严重。Lava安全研究负责人Michael Katchinskiy在一篇博客文章中解释道BMC控制着关键基础设施但它们所受到的监控和保护往往远远不及其所管理的系统。大多数安全工具监控的是操作系统、内核、容器和工作负载。他指出BMC运行在这一信任边界之外使攻击者能够在宿主系统底层实施控制同时几乎对各类防护工具保持隐身状态。BMC的定义与功能顾名思义BMC是嵌入服务器主板的专用微控制器其运行独立于主机系统的主CPU、内存和操作系统。这使管理员能够对服务器进行带外管理与故障排查、更新固件、修改配置以及读取硬件传感器等操作。Katchinskiy指出在实际应用中BMC是数据中心中权限最高的控制节点之一。然而BMC可能暴露多种管理接口包括已有22年历史的带外IPMI协议、较新的基于HTTPS的Redfish协议、基于浏览器的管理界面以及远程控制台功能。在许多情况下这些接口共享同一数据库甚至使用相同的登录凭据。当前攻击活动的根源是IPMI 2.0认证协议中一个编号为CVE-2013-4786的漏洞该漏洞早在2013年便已公开披露。Lava研究人员发现互联网上共有36,872个BMC仍暴露IPMI接口且可被公开访问。其中66%即24,650个泄露了认证哈希值——这是密码经过混淆处理后的存储形式用于后续的用户身份验证。黑客可将这些哈希值下载到本地进行离线分析从而还原出原始密码。研究人员使用常见密码字典对哈希值进行测试发现超过30%的哈希值对应重复使用、出厂预设或具有规律性格式的密码且匹配往往在首轮测试中、数分钟内即告完成。此外近17%的BMC接受空用户名配合弱密码的登录方式。值得关注的是在数据中心、GPU基础设施及托管环境中广泛部署的Supermicro占全部响应BMC的一半以上但其凭据与研究人员的密码字典并不匹配。研究人员认为这一结果在预料之中——因为早在2019年Supermicro便已将受影响产品上的通用管理员密码替换为由10位大写字母组成的唯一出厂密码并印刷在机箱标签上。研究人员已将相关发现报告给受影响方及Supermicro后者表示将针对未来硬件版本的默认密码策略评估潜在改进措施。Lava表示Supermicro此后已修复了该暴露问题。Lava还制作了一张已发现的互联网暴露BMC交互式地图。AI基础设施面临的特殊风险BMC所处的层级低于大多数安全产品的监控范围位于共享带外管理网络中而该网络中的管理凭据往往被重复使用。因此对BMC或其他平台硬件所做的恶意修改能够在操作系统重装、磁盘更换以及标准事件响应流程后依然存续。Katchinskiy指出这一风险在新兴云计算和GPU云环境中尤为突出。AI基础设施可能跨越数千块GPU依托共享管理网络运行并整合了联合存储、高速互连及多租户工具。他特别强调即便客户租用的是专属服务器这些服务器仍连接在由服务商统一管理的共享带外网络上而该网络中的编排与配置服务、凭据存储以及管理工具是由众多共同客户共享使用的。这意味着风险远不止于单台服务器——攻击者可以以此为跳板进而触达数据中心更大范围的基础设施。Katchinskiy表示在所研究的环境中BMC管理网络缺乏有效的网络分段、访问控制和监控机制因此一个被攻陷的BMC可能成为通往其他服务器、关键基础设施乃至客户工作负载的入口。安全专家修复工作长期被忽视Beauceron Security的David Shipley指出有无数硬件和软件工具未能得到及时修补原因在于IT或安全团队认为尽管存在漏洞但威胁行为者无法加以利用。例如业界普遍存在一种观念只要服务器或软件处于物理隔离状态即不连接网络或互联网便是安全的。之所以被忽视很可能是因为它处于团队之间那片奇怪的灰色地带他说道它既不真正属于网络管理的范畴又在操作系统启动之前便已运行因此也不在系统管理员的职责范围之内。Shipley指出获取访问权限极为简单攻击者因此能够在理论上做出各种危害行为。例如关闭设备从而导致企业服务器宕机通过重新部署镜像、植入自己的操作系统潜在地控制服务器尽管这通常会被较快察觉以及实现持久化驻留。这为他们提供了一个在网络中潜伏的据点便于进一步寻找和利用其他漏洞Shipley说。如何防御BMC攻击Katchinskiy表示解决这一问题的方法很简单IPMI和Redfish接口绝不应暴露在公共互联网上。为阻止攻击者入侵BMC防御方应采取以下措施替换出厂默认密码。将BMC访问限制在专用私有管理网络、VPN或其他受控路径中。实施网络访问控制确保只有经授权的管理员才能访问BMC接口。禁用IPMI 1.5、匿名账户等老旧或薄弱选项以及更危险的无需密码、密钥或登录信息即可授予访问权限或令牌的认证方式。对管理网络和生产工作负载分别进行独立监控。Katchinskiy强调各组织必须将管理层视为关键安全边界对其进行隔离消除公开暴露轮换出厂凭据并持续监控。QAQ1什么是BMC基板管理控制器它为什么存在安全风险ABMC是嵌入服务器主板的专用微控制器独立于主机的CPU、内存和操作系统运行让管理员可以远程管理服务器。它的安全风险在于BMC运行在大多数安全工具的监控范围之外常使用出厂默认密码或弱密码且仍暴露存在13年历史漏洞CVE-2013-4786的IPMI协议。攻击者一旦入侵BMC所做的恶意修改甚至能在操作系统重装后继续存续。Q2CVE-2013-4786漏洞有多危险有多少BMC受到影响A该漏洞存在于IPMI 2.0认证协议中发布于2013年至今已有13年。Lava研究人员发现互联网上共有约3.7万个BMC仍暴露IPMI接口其中66%泄露了认证哈希值超过30%的密码为出厂预设或弱密码研究人员可在数分钟内完成破解。近17%的BMC甚至接受空用户名配合弱密码的登录方式安全风险极为严峻。Q3如何保护BMC免受攻击A主要防护措施包括立即替换出厂默认密码将BMC访问限制在专用私有管理网络或VPN中实施网络访问控制仅允许授权管理员访问禁用IPMI 1.5等老旧协议及匿名账户对管理网络和生产工作负载分开监控。核心原则是IPMI和Redfish接口绝不应暴露在公共互联网上管理层必须被视为关键安全边界。