Pressemitteilung von Herr Olaf Heckmann

Die Gefahren von BMC und IPMI: Raritan warnt vor häufigen Schwachstellen

---

---

Essen - Unternehmen nutzen beim Remote-Server-Management so genannte Baseboard Management Controller (BMC) sowie die dazugehörigen Intelligent Platform Management Interface (IPMI)-Protokolle. Die BMCs haben direkten Zugriff auf das Motherboard des Servers. Dadurch ist es dem Tool möglich, den Server zu überwachen, zu booten und sogar neu zu installieren. Durch den KVM-over-IP-Zugriff sowie die Verbindung zu Remote-Medien können Nutzer eines BMC einen Server auch aus der Ferne bedienen. Aktuell tauchen jedoch vermehrt Schwachstellen bei BMCs und IPMI auf. Data Center-Experte Raritan (http://www.raritan.de/) warnt daher vor Schwachstellen, die Fremdzugriffe auf den Firmenserver zur Folge haben können.

Die Schwachstellen, die bei BMCs auftraten, wurden hauptsächlich von zwei Security-Experten identifiziert: Dan Farmer, ein Pionier in der Entwicklung der Schwachstellen-Scanner, entdeckte und dokumentierte die Schwachstellen ursprünglich; H. D. Moore (Entwickler der Netzwerk-Security-Software Metasploit Framework) beschrieb, wie man die Schwachstellen mit schnell verfügbaren Sicherheits-Tools erkennen kann. Moore entdeckte darüber hinaus mehr als 300.000 IPMI-fähige, leicht angreifbare Server, die mit dem Internet verbunden waren. Diese Server offenbarten ebenfalls einige Schwachstellen.

Wo eine Schwachstelle, da auch ein Angriff
BMC- und IPMI-Schwachstellen haben Folgen für Unternehmen und Organisationen: Die Cyper 0-Authentifizierung der BMCs funktioniert mittels Passwort-Zugriff. Jedoch können die BMC-Passwort-Hashes durch Brute Force-Methoden geknackt werden. Die Cyberkriminellen nutzen dafür einfach die auftretenden Schwachstellen aus. Ebenso angreifbar sind BMCs mit aktiviertem "anonymous"-Zugang.

Zudem traten in der Vergangenheit vermehrt UPnP (Universal Plug and Play)-Schwachstellen auf, die Root-Zugriffe auf den BMC sowie das Entwenden von Klartext-Passwörtern ermöglichten. Sobald der BMC geknackt wird, gibt es also viele Möglichkeiten, ihn anzugreifen, zu kontrollieren und den Server in Beschlag zu nehmen. Umgekehrt kann der BMC genutzt werden, um bei einem kompromittierten Server ein Backdoor-Benutzerkonto einzurichten.

Schwachstellen beim BMC sofort melden
Allen Server-Administratoren und Sicherheitsbeauftragten muss bewusst sein, dass die von Farmer und Moore erkannten Schwachstellen auch ihre Server betreffen können. Sobald sich ihre IPMI- und BMC-Implementierungen verändern, sollten Anwender den Server-Hersteller konsultieren. Farmer bietet verunsicherten Usern darüber hinaus Best Practices in puncto IPMI-Security an, während ihnen Moore nützliche FAQs zur Verfügung stellt.

Obwohl die Schwachstellenforschung bezüglich BMC und IPMI noch ziemlich neu und nicht vollständig ausgereift ist, sind sich die RZ-Experten von Raritan trotzdem einig, dass Kunden die Schwachstellen ernst nehmen sollten. Angesichts der hohen Bedeutung des BMC für die Unternehmensserver ist dies doppelt wichtig.

Gefahren für Netzwerke ins Auge blicken
"Neben den Schwachstellen im IPMI-Protokoll scheinen auch die dazugehörigen Geräte der meisten BMCs ähnliche Probleme zu haben", erklärt Moore. "Zu den Problemquellen zählen Standard-Passwörter, veraltete Open-Source-Software und in einigen Fällen Backdoor-Konten sowie statische Verschlüsselungs-Keys. Die Welt der BMCs ist ein Durcheinander, das sich wahrscheinlich auch nicht allzu bald bessern wird. Wir müssen uns demnach den Gefahren dieser Geräte für unsere Netzwerke bewusst sein."

"Stellen Sie sich vor, Sie versuchen einen Computer abzusichern, der einen kleinen störenden Server auf dem Motherboard hat; quasi einen Blutsauger, der weder ausgeschaltet noch dokumentiert werden kann", erläutert Farmer. "Sie können sich nicht einloggen, keine Patches einpflegen oder Probleme beheben. Zudem können sie keine Server-basierten Abwehrmechanismen, Audits oder Anti-Malware-Software nutzen. Die Konstruktion des Servers ist undurchsichtig und die Implementierung schon alt. Dies ist die perfekte Plattform zum Spionieren, fast unsichtbar dem Host gegenüber. Der Blutsauger hat also die volle Kontrolle über die Hard- und Software des Computers. Für so eine Remote-Kontrolle und -Überwachung wurde er sogar speziell ausgerichtet."

Weitere Informationen unter http://www.raritan.de (http://www.raritan.de/) . Firmen- & Pressekontakt