Lavaは7月29日（現地時間）、IPMI（Intelligent Platform Management Interface）の認証ハッシュが大量に公開されていると報告した。攻撃者はこのハッシュをオフライン解析することでパスワードを特定し、リモートアクセスが可能になるという。
同社の調査では世界で3万6872台のIPMI公開サーバを確認。このうち2万4650台が脆弱性「CVE-2013-4786」の影響を受けることが判明した。ハッシュ値の約30％以上は容易にパスワードを特定可能で、Lavaは実際に悪用されている証拠を発見したとしている。また、一部のサーバでは工場出荷時のパスワードがそのまま使われており、簡単に侵入できる状態だったという。
IPMIと脆弱性の詳細
IPMIはサーバの遠隔管理を目的としたインタフェース規格で、BMC（Baseboard Management Controller）チップを搭載する。電源管理やBIOS/UEFI設定、仮想メディアのマウント、ファームウェア更新などが可能で、OSがハングアップした場合の強制リセットにも対応する。侵入されるとルートキットを含むマルウェアを展開されるリスクがある。
脆弱性CVE-2013-4786はIPMI 2.0の認証プロトコルに起因し、リモートの認証されていない攻撃者がHMAC-SHA1認証コードを窃取できる。問題は約20年前に設計された認証方式にあり、現在も悪用が続いている。
影響範囲と対策
Lavaは影響範囲を視覚化するBMC警告サイト「BMC Exposure Alert」を公開。米国が約40％と最も多く、日本は0.67％（243台）と比較的少ないものの、リスクのあるサーバが存在することが確認された。
この脆弱性はIPMIの通信ポート（UDP 623）を閉じることで回避できる。管理者は脆弱性の影響を調査し、必要に応じてポートのアクセス制限を実施することが推奨される。また、パスワードの変更もリスク軽減に有効とされる。ハッシュ解析の平均時間は不明だが、工場出荷時や推測可能なパスワードの利用は避けるべきだ。
Lavaはこの他にもIPMI 1.5、暗号スイート0、匿名アカウント、NONE認証の無効化を推奨している。すでに侵害されている場合はルートキット展開の可能性を考慮し、デバイスのリプレースを含めた復旧計画を策定することが望まれる。
