Una vulnerabilidad antigua vuelve a poner en riesgo miles de servidores empresariales en todo el mundo. Investigadores de seguridad han descubierto que más de 24.000 servidores conectados directamente a Internet están filtrando material de autenticación que permite a los atacantes intentar recuperar sus contraseñas mediante ataques offline.
El problema afecta a los sistemas de gestión remota BMC (Baseboard Management Controller) y está relacionado con una debilidad conocida como CVE-2013-4786, basada en una arquitectura de autenticación heredada de IPMI 2.0, un protocolo introducido originalmente en 2004.
Aunque la vulnerabilidad lleva más de una década documentada, miles de organizaciones continúan exponiendo interfaces críticas de administración directamente a Internet.
El peligro oculto detrás de los BMC
Los Baseboard Management Controller son pequeños procesadores integrados en las placas base de servidores profesionales. Su función es, permitir que los administradores controlen un servidor incluso cuando el sistema operativo está apagado o bloqueado.
Entre sus capacidades se incluyen:
- Encender y apagar servidores remotamente.
- Reiniciar equipos bloqueados.
- Actualizar firmware.
- Acceder a consolas remotas.
- Montar unidades virtuales.
- Modificar configuraciones de bajo nivel.
El problema es que un atacante que consigue acceso al BMC no obtiene simplemente una cuenta administrativa normal, que puede llegar a controlar directamente la máquina física desde una capa situada por debajo del sistema operativo, una zona que muchas soluciones de seguridad tradicionales no supervisan correctamente.
Una vulnerabilidad de hace 20 años que sigue siendo explotable
El fallo se encuentra en el mecanismo de autenticación de IPMI 2.0. El protocolo permite que un atacante solicite una respuesta de autenticación que contiene información suficiente para intentar descifrar la contraseña sin interactuar nuevamente con el servidor.
Este proceso se conoce como ataque de cracking offline.
El atacante puede capturar la respuesta y probar millones de contraseñas utilizando:
- GPUs de alto rendimiento.
- Diccionarios.
- Listas de contraseñas filtradas.
- Patrones conocidos de fabricantes.
La principal ventaja para el atacante es que puede realizar los intentos de forma local sin generar tráfico visible contra el servidor.
36.872 servidores expuestos públicamente
Los investigadores de la compañía de ciberseguridad Lava realizaron un análisis buscando servicios IPMI accesibles desde Internet mediante el puerto UDP 623.
Los resultados fueron preocupantes:
- 36.872 servidores tenían servicios IPMI expuestos.
- 24.650 equipos filtraban material de autenticación aprovechable.
- 6.240 sistemas aceptaban nombres de usuario vacíos durante la autenticación.
- 2.340 servidores utilizaban contraseñas administrativas débiles presentes en diccionarios públicos.
Esto significa que miles de servidores podrían ser comprometidos sin necesidad de explotar una vulnerabilidad moderna.
Contraseñas de fábrica: el gran problema
Uno de los puntos más preocupantes del estudio es el uso de credenciales predeterminadas.
Los investigadores detectaron numerosos sistemas Supermicro donde:
- El usuario era siempre ADMIN.
- La contraseña seguía un patrón fijo.
- El valor aparecía asociado a una etiqueta física del chasis.
Aunque este sistema pueda parecer seguro sobre el papel, una estructura predecible reduce enormemente la dificultad del ataque. Con suficientes muestras y capacidad de cálculo, los atacantes pueden crear modelos capaces de reducir millones de combinaciones posibles.
Los servidores con IA aumentan el riesgo
Los investigadores advierten especialmente sobre entornos modernos de inteligencia artificial.
Muchos centros de datos utilizan servidores físicos equipados con grandes cantidades de GPU que pueden alojar:
- Varias máquinas virtuales.
- Diferentes clientes.
- Múltiples cargas de trabajo simultáneas.
Un BMC comprometido en este contexto podría convertirse en un punto de entrada para atacar varios entornos al mismo tiempo.
Según Lava: “un único servidor físico comprometido podría permitir afectar múltiples cargas de trabajo alojadas sobre la misma infraestructura”.
En centros de datos dedicados a IA, donde una máquina puede tener un enorme valor económico, este riesgo aumenta considerablemente.
Existen señales de actividad maliciosa
Aunque los investigadores no han confirmado una campaña global de explotación masiva, sí encontraron indicios preocupantes. Durante la investigación localizaron una interfaz HPE iLO 4 expuesta públicamente que mostraba una nota de ransomware solicitando un pago de 0,3 BTC.
Esto, no demuestra que todos los servidores vulnerables estén siendo atacados, pero confirma que algunos actores ya están buscando sistemas de administración remota mal protegidos.
Los fabricantes recomiendan cerrar la exposición
Los investigadores notificaron a fabricantes como:
- Supermicro.
- HPE.
Supermicro reconoció el riesgo y recordó sus recomendaciones de seguridad:
- Cambiar las contraseñas predeterminadas.
- Aislar las redes de administración.
- Evitar exponer BMC directamente a Internet.
La compañía también indicó que estudiará políticas de contraseñas más fuertes para futuras generaciones de hardware.
¿Cómo proteger un servidor BMC correctamente?
Los expertos recomiendan varias medidas básicas:
1. Nunca exponer BMC directamente a Internet
Interfaces como:
- IPMI.
- Redfish.
- HPE iLO.
- Dell iDRAC.
Deberían estar siempre disponibles únicamente dentro de las redes internas de administración.
2. Cambiar las contraseñas de fábrica
Las credenciales predeterminadas son uno de los mayores riesgos.
Por eso, se recomienda utilizar:
- Contraseñas largas.
- Gestores de contraseñas.
- Rotación periódica.
3. Desactivar la autenticación IPMI antigua
Cuando sea posible, debes deshabilitar los mecanismos heredados inseguros.
4. Separar la red de gestión
La administración remota debería encontrarse en una red aislada diferente de:
- Usuarios finales.
- Servidores públicos.
- Sistemas críticos.
Conclusión
Este caso demuestra un problema recurrente en ciberseguridad: las vulnerabilidades antiguas siguen siendo peligrosas cuando afectan componentes críticos que permanecen olvidados durante años.
Un servidor puede tener el sistema operativo actualizado y las aplicaciones protegidas, pero si su controlador BMC está expuesto con credenciales débiles, toda la infraestructura puede quedar comprometida.
La lección a extraer de todo esto, la superficie de posibles ataques no termina en Windows, Linux o las aplicaciones: en los centros de datos modernos, el hardware también necesita una estrategia de seguridad consistente.