13年前的漏洞仍在威胁数万个数据中心管理系统

企业服务器操作系统底层的"无人地带"，正成为恶意攻击者的下一个目标。

据数据中心安全公司Lava的研究人员披露，攻击者正通过利用基板管理控制器（BMC）的安全漏洞，渗透进入更广泛的数据中心环境。这些BMC设备普遍缺乏保护，仍在运行数十年前的老旧协议，并且存在一个早在13年前便已公开披露的安全漏洞。

Lava红队研究人员发现，BMC为服务器提供无需物理接触的带外远程控制能力，而他们仅凭猜测基础密码，就能在数分钟内成功入侵BMC。其中，Supermicro和HPE服务器上的BMC受影响最为严重。

Lava安全研究负责人Michael Katchinskiy在一篇博客文章中解释道："BMC控制着关键基础设施，但它们所受到的监控和保护，往往远远不及其所管理的系统。大多数安全工具监控的是操作系统、内核、容器和工作负载。"他指出，BMC运行在这一信任边界之外，"使攻击者能够在宿主系统底层实施控制，同时几乎对各类防护工具保持隐身状态。"

BMC的定义与功能

顾名思义，BMC是嵌入服务器主板的专用微控制器，其运行独立于主机系统的主CPU、内存和操作系统。这使管理员能够对服务器进行带外管理与故障排查、更新固件、修改配置以及读取硬件传感器等操作。

Katchinskiy指出："在实际应用中，BMC是数据中心中权限最高的控制节点之一。"

然而，BMC可能暴露多种管理接口，包括已有22年历史的带外IPMI协议、较新的基于HTTPS的Redfish协议、基于浏览器的管理界面以及远程控制台功能。在许多情况下，这些接口共享同一数据库，甚至使用相同的登录凭据。

当前攻击活动的根源，是IPMI 2.0认证协议中一个编号为CVE-2013-4786的漏洞，该漏洞早在2013年便已公开披露。

Lava研究人员发现，互联网上共有36,872个BMC仍暴露IPMI接口且可被公开访问。其中，66%（即24,650个）泄露了认证哈希值——这是密码经过混淆处理后的存储形式，用于后续的用户身份验证。黑客可将这些哈希值下载到本地进行离线分析，从而还原出原始密码。

研究人员使用常见密码字典对哈希值进行测试，发现超过30%的哈希值对应"重复使用、出厂预设或具有规律性格式"的密码，且匹配往往在首轮测试中、数分钟内即告完成。此外，近17%的BMC接受空用户名配合弱密码的登录方式。

值得关注的是，在数据中心、GPU基础设施及托管环境中广泛部署的Supermicro，占全部响应BMC的一半以上，但其凭据与研究人员的密码字典并不匹配。研究人员认为这一结果"在预料之中"——因为早在2019年，Supermicro便已将受影响产品上的通用管理员密码，替换为由10位大写字母组成的唯一出厂密码，并印刷在机箱标签上。

研究人员已将相关发现报告给受影响方及Supermicro，后者表示将针对未来硬件版本的默认密码策略评估潜在改进措施。Lava表示，Supermicro此后已修复了该暴露问题。Lava还制作了一张已发现的互联网暴露BMC交互式地图。

AI基础设施面临的特殊风险

BMC所处的层级低于大多数安全产品的监控范围，位于共享带外管理网络中，而该网络中的管理凭据往往被重复使用。因此，对BMC或其他平台硬件所做的恶意修改，能够在操作系统重装、磁盘更换以及标准事件响应流程后依然存续。

Katchinskiy指出，这一风险在新兴云计算和GPU云环境中"尤为突出"。AI基础设施可能跨越数千块GPU，依托共享管理网络运行，并整合了联合存储、高速互连及多租户工具。他特别强调，即便客户租用的是专属服务器，这些服务器仍连接在由服务商统一管理的共享带外网络上，而该网络中的编排与配置服务、凭据存储以及管理工具，是由众多共同客户共享使用的。

这意味着风险远不止于单台服务器——攻击者可以以此为跳板，进而触达数据中心更大范围的基础设施。

Katchinskiy表示，在所研究的环境中，BMC管理网络"缺乏有效的网络分段、访问控制和监控机制"，因此"一个被攻陷的BMC，可能成为通往其他服务器、关键基础设施乃至客户工作负载的入口。"

安全专家：修复工作长期被忽视

Beauceron Security的David Shipley指出，有"无数"硬件和软件工具未能得到及时修补，原因在于IT或安全团队认为，尽管存在漏洞，但威胁行为者无法加以利用。例如，业界普遍存在一种观念：只要服务器或软件处于物理隔离状态（即不连接网络或互联网），便是安全的。

"之所以被忽视，很可能是因为它处于团队之间那片奇怪的灰色地带，"他说道，"它既不真正属于网络管理的范畴，又在操作系统启动之前便已运行，因此也不在系统管理员的职责范围之内。"

Shipley指出，获取访问权限"极为简单"，攻击者因此能够"在理论上做出各种危害行为"。例如：关闭设备，从而导致企业服务器宕机；通过"重新部署镜像、植入自己的操作系统"潜在地控制服务器（尽管这通常会被较快察觉）；以及实现持久化驻留。"这为他们提供了一个在网络中潜伏的据点，便于进一步寻找和利用其他漏洞，"Shipley说。

如何防御BMC攻击

Katchinskiy表示，解决这一问题的方法"很简单"：IPMI和Redfish接口绝不应暴露在公共互联网上。

为阻止攻击者入侵BMC，防御方应采取以下措施：

替换出厂默认密码。

将BMC访问限制在专用私有管理网络、VPN或其他受控路径中。

实施网络访问控制，确保只有经授权的管理员才能访问BMC接口。

禁用IPMI 1.5、匿名账户等"老旧或薄弱"选项，以及更危险的无需密码、密钥或登录信息即可授予访问权限或令牌的认证方式。

对管理网络和生产工作负载分别进行独立监控。

Katchinskiy强调："各组织必须将管理层视为关键安全边界：对其进行隔离，消除公开暴露，轮换出厂凭据，并持续监控。"

Q&A

Q1：什么是BMC（基板管理控制器）？它为什么存在安全风险？

A：BMC是嵌入服务器主板的专用微控制器，独立于主机的CPU、内存和操作系统运行，让管理员可以远程管理服务器。它的安全风险在于：BMC运行在大多数安全工具的监控范围之外，常使用出厂默认密码或弱密码，且仍暴露存在13年历史漏洞（CVE-2013-4786）的IPMI协议。攻击者一旦入侵BMC，所做的恶意修改甚至能在操作系统重装后继续存续。

Q2：CVE-2013-4786漏洞有多危险？有多少BMC受到影响？

A：该漏洞存在于IPMI 2.0认证协议中，发布于2013年，至今已有13年。Lava研究人员发现，互联网上共有约3.7万个BMC仍暴露IPMI接口，其中66%泄露了认证哈希值，超过30%的密码为出厂预设或弱密码，研究人员可在数分钟内完成破解。近17%的BMC甚至接受空用户名配合弱密码的登录方式，安全风险极为严峻。

Q3：如何保护BMC免受攻击？

A：主要防护措施包括：立即替换出厂默认密码；将BMC访问限制在专用私有管理网络或VPN中；实施网络访问控制，仅允许授权管理员访问；禁用IPMI 1.5等老旧协议及匿名账户；对管理网络和生产工作负载分开监控。核心原则是：IPMI和Redfish接口绝不应暴露在公共互联网上，管理层必须被视为关键安全边界。