🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Mais de 24.000 servidores expostos à Internet estão vazando hashes de senha de autenticação devido a uma vulnerabilidade de 20 anos em sua interface Baseboard Management Controller (BMC).
Para pelo menos um terço deles, os pesquisadores conseguiram encontrar a senha correta usando dicionários e padrões em adesivos de fábrica para credenciais padrão.
Os servidores expostos são vulneráveis ao CVE-2013-4786, um ponto fraco da autenticação IPMI 2.0 enraizado em um protocolo introduzido em 2004.
O problema de segurança permite que os invasores solicitem uma resposta de autenticação que pode ser usada para quebrar a senha offline usando plataformas de GPU dedicadas ou configurações semelhantes.
BMCs e riscos de servidor
BMCs são processadores integrados à placa-mãe de um servidor que permitem aos administradores gerenciar remotamente o sistema independentemente do sistema operacional. Eles suportam ações de baixo nível, como ligar/desligar servidores, atualizar firmware ou montar mídia virtual.
O acesso aos BMCs pode dar aos invasores controle sobre servidores físicos, permitindo-lhes alterar configurações de baixo nível, aplicar atualizações maliciosas de firmware e comprometer o sistema em uma camada não monitorada por soluções de segurança.
Pesquisadores da Lava, startup de segurança cibernética e infraestrutura, dizem que, em configurações do mundo real, as credenciais recuperadas podem funcionar em várias interfaces de gerenciamento no mesmo ambiente, e que um único BMC comprometido pode servir como um ponto central para o plano de gerenciamento mais amplo.
Em ambientes de IA com infraestrutura mal segmentada, os invasores podem afetar vários locatários simultaneamente.
“Um servidor GPU físico pode suportar vários locatários ou cargas de trabalho por meio de virtualização, particionamento de GPU ou outros mecanismos de compartilhamento”, dizem os pesquisadores da Lava.
“Nesses ambientes, o comprometimento de um servidor físico pode interromper ou expor diversas cargas de trabalho de clientes.”
Diagrama de exploraçãoFonte: Lava
Exposição massiva
Procurando serviços IPMI acessíveis ao público na porta UDP 623, os pesquisadores encontraram 36.872 hosts expostos à Internet. Desses, 24.650 expuseram material de autenticação derivado de senha que poderia ser usado para realizar ataques offline de quebra de senha.
De acordo com pesquisadores da Lava, 6.240 hosts aceitaram um nome de usuário vazio durante a autenticação, e testes subsequentes confirmaram que eles também estavam protegidos por senhas fracas.
Um número de 2.340 instâncias usaram senhas de administrador fracas que correspondiam a dicionários públicos, tornando-as muito fáceis de serem violadas.
Num mapa de exposição ao vivo visto pelo BleepingComputer, os Estados Unidos estão no topo da lista com 39% dos servidores vulneráveis.
Os pesquisadores da Lava observam que um grande número de BMCs encontrados expostos on-line são sistemas da Supermicro protegidos por uma senha maiúscula de 10 caracteres impressa na etiqueta do chassi, com o nome de usuário ‘ADMIN’ em todos os casos.
Eles argumentam que, embora esse formato teoricamente forneça amplo espaço, sua estrutura restrita ainda torna prático o cracking offline.
Para efeito de comparação, os pesquisadores estimaram que a recuperação de uma senha de fábrica da HPE levaria cerca de 1 dia por resposta capturada (uma resposta de autenticação obtida durante o handshake IPMI) em um sistema Apple M3.
Interface BMCFonte: Lava
Atividade e resposta
Lava relata que durante sua pesquisa, encontrou uma página de login do HPE iLO 4 exposta na Internet exibindo uma nota de resgate exigindo 0,3 BTC.
Embora isto não seja prova de actividade de exploração generalizada, ou mesmo de tentativas bem sucedidas, mostra que pelo menos alguma actividade maliciosa está em curso.
Nota de resgate em uma instância exposta do HPE iLO 4Fonte: Lava
Os pesquisadores notificaram a Supermicro em junho e, embora a empresa reconhecesse o risco, observou que a orientação oficial para administradores recomenda alternar as senhas padrão do BMC e isolar as redes de gerenciamento.
A empresa, porém, disse que revisaria políticas de senha padrão mais rígidas para futuras revisões de hardware.
A Lava também notificou a HPE, mas recebeu apenas uma mensagem de resposta automática padrão e nenhum acompanhamento da equipe de segurança do fornecedor.
Os pesquisadores recomendam manter o IPMI e o Redfish fora da Internet pública, alternando as senhas BMC de fábrica, restringindo o acesso a redes de gerenciamento isoladas e desativando a autenticação IPMI herdada.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
Para pelo menos um terço deles, os pesquisadores conseguiram encontrar a senha correta usando dicionários e padrões em adesivos de fábrica para credenciais padrão.
Os servidores expostos são vulneráveis ao CVE-2013-4786, um ponto fraco da autenticação IPMI 2.0 enraizado em um protocolo introduzido em 2004.
O problema de segurança permite que os invasores solicitem uma resposta de autenticação que pode ser usada para quebrar a senha offline usando plataformas de GPU dedicadas ou configurações semelhantes.
BMCs e riscos de servidor
BMCs são processadores integrados à placa-mãe de um servidor que permitem aos administradores gerenciar remotamente o sistema independentemente do sistema operacional. Eles suportam ações de baixo nível, como ligar/desligar servidores, atualizar firmware ou montar mídia virtual.
O acesso aos BMCs pode dar aos invasores controle sobre servidores físicos, permitindo-lhes alterar configurações de baixo nível, aplicar atualizações maliciosas de firmware e comprometer o sistema em uma camada não monitorada por soluções de segurança.
Pesquisadores da Lava, startup de segurança cibernética e infraestrutura, dizem que, em configurações do mundo real, as credenciais recuperadas podem funcionar em várias interfaces de gerenciamento no mesmo ambiente, e que um único BMC comprometido pode servir como um ponto central para o plano de gerenciamento mais amplo.
Em ambientes de IA com infraestrutura mal segmentada, os invasores podem afetar vários locatários simultaneamente.
“Um servidor GPU físico pode suportar vários locatários ou cargas de trabalho por meio de virtualização, particionamento de GPU ou outros mecanismos de compartilhamento”, dizem os pesquisadores da Lava.
“Nesses ambientes, o comprometimento de um servidor físico pode interromper ou expor diversas cargas de trabalho de clientes.”
Diagrama de exploraçãoFonte: Lava
Exposição massiva
Procurando serviços IPMI acessíveis ao público na porta UDP 623, os pesquisadores encontraram 36.872 hosts expostos à Internet. Desses, 24.650 expuseram material de autenticação derivado de senha que poderia ser usado para realizar ataques offline de quebra de senha.
De acordo com pesquisadores da Lava, 6.240 hosts aceitaram um nome de usuário vazio durante a autenticação, e testes subsequentes confirmaram que eles também estavam protegidos por senhas fracas.
Um número de 2.340 instâncias usaram senhas de administrador fracas que correspondiam a dicionários públicos, tornando-as muito fáceis de serem violadas.
Num mapa de exposição ao vivo visto pelo BleepingComputer, os Estados Unidos estão no topo da lista com 39% dos servidores vulneráveis.
Os pesquisadores da Lava observam que um grande número de BMCs encontrados expostos on-line são sistemas da Supermicro protegidos por uma senha maiúscula de 10 caracteres impressa na etiqueta do chassi, com o nome de usuário ‘ADMIN’ em todos os casos.
Eles argumentam que, embora esse formato teoricamente forneça amplo espaço, sua estrutura restrita ainda torna prático o cracking offline.
Para efeito de comparação, os pesquisadores estimaram que a recuperação de uma senha de fábrica da HPE levaria cerca de 1 dia por resposta capturada (uma resposta de autenticação obtida durante o handshake IPMI) em um sistema Apple M3.
Interface BMCFonte: Lava
Atividade e resposta
Lava relata que durante sua pesquisa, encontrou uma página de login do HPE iLO 4 exposta na Internet exibindo uma nota de resgate exigindo 0,3 BTC.
Embora isto não seja prova de actividade de exploração generalizada, ou mesmo de tentativas bem sucedidas, mostra que pelo menos alguma actividade maliciosa está em curso.
Nota de resgate em uma instância exposta do HPE iLO 4Fonte: Lava
Os pesquisadores notificaram a Supermicro em junho e, embora a empresa reconhecesse o risco, observou que a orientação oficial para administradores recomenda alternar as senhas padrão do BMC e isolar as redes de gerenciamento.
A empresa, porém, disse que revisaria políticas de senha padrão mais rígidas para futuras revisões de hardware.
A Lava também notificou a HPE, mas recebeu apenas uma mensagem de resposta automática padrão e nenhum acompanhamento da equipe de segurança do fornecedor.
Os pesquisadores recomendam manter o IPMI e o Redfish fora da Internet pública, alternando as senhas BMC de fábrica, restringindo o acesso a redes de gerenciamento isoladas e desativando a autenticação IPMI herdada.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
#samirnews #samir #news #boletimtec #mais #de #24.000 #bmcs #de #servidores #expostos #vazam #hash #de #senha #por #meio #de #uma #falha #de #décadas
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário