Lavaは7月29日(現地時間)、「How We Hacked Thousands of Data Centers in Minutes Using a 20-Year-Old Vulnerability｜Lava」において、サーバの遠隔管理を可能にするIPMI(Intelligent Platform Management Interface)の認証ハッシュが大量に公開されていると報じた。

攻撃者はこの認証ハッシュをオフライン解析することでパスワードを特定し、リモートアクセスが行えるようになるという。

世界で2万4650台が脆弱、日本でも243台を確認

Lavaの調査では世界で3万6872台のIPMI公開サーバを確認。このうち2万4650台が脆弱性「CVE-2013-4786」の影響を受けることが判明した。

これらハッシュ値の約30%以上は容易にパスワードを特定可能とされ、Lavaは実際に悪用されている証拠を発見したと報告。 さらに一部サーバは、工場出荷時のパスワードをそのまま利用しており、簡単に侵入できるという。

この影響は単一のサーバにとどまらず、サーバが高い権限を有している場合はデーターセンターの大部分を危険にさらす可能性がある。とくにパスワードを複数のサーバやアカウントで使い回している場合、攻撃者は管理コントローラー間を横断できると評価されている。

遠隔管理インタフェース規格「IPMI」とは

IPMIはサーバの遠隔管理を目的として幅広く利用されているインタフェース規格だ。ベースボード管理コントローラ(BMC: Baseboard Management Controller)と呼ばれるチップを搭載し、オペレーティングシステムなどを介さずにコンピュータの遠隔管理を可能にする。

デバイスの電源管理やBIOS/UEFI設定にも対応しており、オペレーティングシステムがハングアップした場合に遠隔から強制リセットするなどの運用に対応する。また、仮想メディアのマウント、ファームウェアの更新も可能とされ、侵入されるとルートキットを含むマルウェアを展開されるリスクがある。

脆弱性の影響と対策

今回悪用が確認された脆弱性「CVE-2013-4786」は、2013年に情報公開された。問題の本質はIPMI 2.0の認証プロトコルにあり、リモートの認証されていない攻撃者はHMAC-SHA1認証コードを窃取可能とされる。

  • 認証コードの窃取手順 引用：Lava

    認証コードの窃取手順 引用：Lava

Lavaは影響範囲を視覚化するために、BMC警告サイト「BMC Exposure Alert — Lava Research | Lava」を公開した。影響を受けるサーバは米国が約40%で、2位以下を大きく引き離してトップに立つ。一方、日本は0.67%(243台)と少ないが、リスクのあるサーバの存在が特定された。

  • 脆弱なサーバーの分布マップ 引用：Lava

    脆弱なサーバの分布マップ 引用：Lava

この脆弱性はIPMIの通信ポート(UDP 623)を閉じることで回避できる。IPMIサーバを運用している管理者は、脆弱性の影響を調査し、必要に応じて通信ポートのアクセス制限を実施することが推奨される。

また、パスワードの変更もリスクを軽減できる可能性がある。ハッシュ値の分析にかかる平均時間は定かでないが、少なくとも工場出荷時や推測可能なパスワードの利用は避ける必要がある。Lavaはこの他にも、IPMI 1.5、暗号スイート0、匿名アカウント、NONE認証の無効化を推奨している。

約20年前に設計されたIPMI認証方式に起因する問題だが、現在も悪用されている実態が浮き彫りになった。すでに侵害されている場合はルートキットを展開されている可能性を考慮し、デバイスのリプレースを含めた復旧計画を策定することが望まれる。