Sektörün önde gelen üreticilerinden binlerce internete bağlı sunucunun, anakartların derinliklerinde gizlenen ve on yılı aşkın süredir var olan kritik güvenlik açıkları sayesinde uzaktan ele geçirilebileceği (backdoor açılabileceği) ortaya çıktı.
Sunucu anakartlarına gömülü olan ve genellikle BMC (Baseboard Management Controller) olarak kısaltılan bu küçük bilgisayarlar, kendi işletim sistemleri, ağ yığınları ve IP adresleriyle çalışır. Sistem yöneticileri, bu kontrolcülere, büyük sunucu filolarının fiziksel durumunu izlemek, makineleri yeniden başlatmak, güncellemeleri yüklemek ve hatta işletim sistemlerini yeniden kurmak gibi çeşitli görevleri uzaktan gerçekleştirmek için güvenir. BMC'ler, bağlı oldukları sunucular kapalıyken veya yanıt vermezken bile çalıştığı için, sistemlere "ışıklar kapalı" ve "bandın dışı" (out-of-band) yönetim olanağı sunar.
"Gözetimsiz, Yamasız ve Yaygın Bir Saldırı Yüzeyi"
Araştırmacılar, en az 2013 yılından bu yana, BMC'lerin veri merkezlerine derin ve kalıcı erişim sağlamak isteyen hackerlar için önemli bir fırsat sunduğu konusunda uyarıyordu. Bu durumun temelinde yatan sebep ise BMC'lerin sunuculardan bağımsız çalışmasına ve yönetim görevlerini yerine getirmesine olanak tanıyan IPMI protokolüydü. Bu firmware'deki güvenlik açıkları, saldırganların uzaktan kötü amaçlı kod çalıştırarak, yönettikleri sunucuları ele geçirmelerine imkan tanıyordu.
Yapılan yeni araştırmalar, bu durumun üzerinden çok az zaman geçtiğini gösteriyor. Güvenlik uzmanları tarafından sunulan veriler, piyasada bulunan BMC'lerde düzinelerce yeni güvenlik açığı keşfedildiğini ortaya koyuyor. Dahası, bazı zayıflıkların 2013'te uyarılan sorunlardan bu yana giderilmeye çalışılmasına rağmen hala aktif durumda olduğu belirlendi.
Araştırmanın bulgularına göre, sonuç olarak oldukça yaygın, yetersiz izlenen ve yamalanan bir saldırı yüzeyi ortaya çıkıyor. Bu yüzey hem internete açık hem de kurumsal ağlar içinde geniş çapta bulunuyor ve birçok kişinin düşündüğünden çok daha fazla istismar edilebilir durumda.
Bu tehdidi vurgulamak ve ölçmek amacıyla yapılan iki büyük ölçekli tarama gerçekleştirildi. Bir tarama, genel olarak internete bağlı BMC'leri incelerken, diğeri kurumsal ağlardaki cihazları dahili olarak taradı. Dış tarama, halka açık bir yönetim hizmeti sunan 86.000'den fazla BMC tespit etti. Bu cihazların yüzde 54'ünden fazlası bir veya daha fazla kritik güvenlik açığına sahipti. Hatta 75.000'e yakını, IPMI 2.0 kimlik doğrulama protokolündeki bir güvenlik açığı sayesinde, yönetici düzeyindeki BMC hesap şifrelerinin çevrimdışı kırılmasına karşı savunmasız kaldı. Diğer yandan, yapılan 126.761 BMC'lik dahili tarama ise, bunların yaklaşık yüzde 29'unun bir veya daha fazla kritik güvenlik açığına sahip olduğunu gösterdi.
Her Gün Büyüyen Bir Güvenlik Açığı Listesi
Güvenlik açığı keşiflerinin sayısının her geçen gün artması, kesin bir rakam vermeyi zorlaştırıyor. Araştırmacı, BMC üreticilerine yama uygulama fırsatı sunmak amacıyla güvenlik açığı ayrıntılarını gizli tuttuğu için, birçok açığı tek tek açıklama yetkisi de bulunmuyor. Genel olarak tespit edilen bazı güvenlik açığı sınıfları şunlardır:
1. IPMI kimlik doğrulama el sıkışmasındaki kusurlar: Hackerlar, kimlik doğrulama gereksinimlerini atlayacak şekilde mesaj alışverişlerinin sırasını değiştirebilir. Bu, saldırgana BMC'ye sınırlı bir giriş hakkı tanır ve ardından diğer güvenlik açıklarından yararlanarak yönetici erişimi elde edebilir. Etkilenen ürünler arasında çeşitli üreticilerin iLO, Supermicro, OpenBMC ve H3C ile Nvidia'dan türetilen OpenBMC ürünleri bulunuyor.
2. Oturum içi bütünlük ve şifreleme korumalarının IPMI tarafından zorlanamaması: "Cihaz, her paketi saldırganın kendi başlığından kimlik doğrulamaya ve şifrelemeye karar veriyor, oturumun anlaşmış olduğu algoritmalardan değil. Bu nedenle, imzalanmamış, şifrelenmemiş bir komut, güvenli bir oturumda kabul ediliyor." şeklinde açıklanan bu durum, farklı zayıflıkları tam oturumlara dönüştürmek için kullanılabiliyor. Etkilenen üreticiler arasında HPE, Supermicro ve Intel (eski ürünler) yer alıyor.
3. Tahmin edilebilir oturum tanımlayıcıları: Oturum jetonları, güvenli rastgele kaynaklar yerine sayaçlardan veya saatten üretiliyor. Bu, saldırganın hem IPMI hizmetinde hem de tarayıcı tabanlı KVM konsollarında başka bir kullanıcının canlı BMC oturumunu tahmin ederek ele geçirmesine olanak tanıyor. En önemli iki hata Supermicro sistemlerinde görülüyor.
4. Kimlik doğrulamasından önceki bellek bozulmaları: Yönetim SSH hizmetindeki bir uzunluk doğrulama hatası, kimlik doğrulamasından önce erişilebilir durumda ve kötü amaçlı kod çalıştırmak için kullanılabiliyor. Bu tür güvenlik açıkları HPE iLO sistemlerinde bulundu.
5. İmzasız veya saldırgan tarafından kontrol edilebilir firmware ve zorlanamayan yapılandırma bütünlüğünün varlığı: Kimliği doğrulanmış bir yönetici kalıcı bir arka kapı (implant) yükleyebilir veya firmware'i doğrulamak için kullanılan anahtarı değiştirebilir. Bunlar, ayrı kimlik doğrulama atlamaları ve ayrıcalık yükseltme güvenlik açıklarıyla birleştirilebilir. Etkilenen üreticiler arasında Supermicro, H3C ve Dell bulunuyor.
6. Firmware'den kurtarılabilir sırların canlı kimlik bilgileri olarak kullanılması: Genel firmware'den çıkarılabilen anahtarlar ve sabitler, BMC'lere kimlik doğrulamak veya trafiği şifrelemek için kullanılabilir. Etkilenen üreticiler arasında Supermicro, OpenBMC, Huawei ve Dell yer alıyor.
7. CVE-2013-4786'dan kaynaklanan karma (hash) ifşası yoluyla ele geçirilebilen varsayılan ve fabrika rastgele oluşturulmuş kimlik bilgileri: Cihazlar sıklıkla varsayılan kimlik bilgilerini kullanmaya devam ediyor. Kimlik bilgileri sevkiyat öncesinde değiştirilmiş olsa bile, fabrika tarafından rastgele oluşturulmuş şifrelerin küçük anahtar alanları, çevrimdışı kırma saldırılarında kurtarılabilir hale geliyor. Etkilenen üreticiler arasında HPE, Supermicro ve Dell bulunuyor. HPE (sekiz basamaklı veya alfanümerik), Supermicro ve Dell ise biraz daha uzun varsayılanlar kullanıyor. Bu durum, saldırı maliyetini artırıyor ve net metin kurtarma süresini birkaç saat veya güne kadar geciktirebiliyor.
Bu güvenlik açıklarının çoğunun, kimlik doğrulamasından sonra istismar edilmesi gerekse de, bu koşul genellikle araştırmacı tarafından belirlenen daha az sayıdaki kimlik doğrulamasından önceki güvenlik açıklarından yararlanılarak karşılanabiliyor. Diğer durumlarda, bir BMC'ye sınırlı erişim sağlayan hackerlar, eski, yamalanmamış veya arka kapılı bir firmware görüntüsü yükleyebilir. Ardından, hacker, BMC'yi daha fazla kurcalamak için işletim sistemi kontrolünü kullanabilir.
BMC güvenlik açıklarını istismar etmek sadece varsayımsal bir olasılık değil. 2021'de araştırmacılar, HPE sunucularını sabit disklerdeki verileri yok eden kötü amaçlı bir firmware ile enfekte eden ILObleed adlı bir arka kapı keşfettiler. Yöneticiler işletim sistemini yeniden kursa, sabit diskleri değiştirse veya diğer yaygın dezenfeksiyon adımlarını atsa bile, ILObleed yerinde kalıp disk silme saldırısını yeniden etkinleştirebiliyordu. Saldırganların o kampanya sırasında kullandığı güvenlik açığı, HPE BMC'lerinde dört yıl önce yamalanmıştı ancak etkilenen cihazlara yüklenmemişti.
Geçen yıl, Siber Güvenlik ve Altyapı Güvenlik Ajansı, AMI BMC'lerindeki kritik bir güvenlik açığını istismar edilen bilinen güvenlik açıkları kataloğuna ekledi.
Araştırmacı, OOBscan adını verdiği açık kaynaklı bir araç yayınladı. Yöneticiler, bu aracı kullanarak tüm sunucu filolarını tarayarak katalogladığı büyüyen BMC güvenlik açığı listesini tespit edebilirler. OOBscan'ı çalıştırmanın ötesinde, yöneticiler bu saldırıların çoğuna karşı aşağıdaki adımlarla savunma yapabilirler:
- Uzun, benzersiz kullanıcı adları ve uzun, karmaşık parolalar belirleyin.
- Mümkünse IPMI'yi devre dışı bırakın.
- Mümkünse KCS'yi devre dışı bırakın (anakarttan BMC'ye erişimi engelleyin).
- Her BMC ağ arayüzünü ayrı ayrı izole edin, birden fazlasını paylaşılan bir VLAN'a yerleştirmekten kaçının.
Araştırmacı, "BMC'ler hala küçümsenen bir risk oluşturuyor. Bu çalışma, ekosistemin kod kalitesi ve mimari açısından beklentilerin oldukça gerisinde olduğunu gösteriyor" yorumunu yaptı.
