Durante il Black Hat di Las Vegas, HD Moore, fondatore ed esperto di sicurezza firmware presso runZero, ha presentato i risultati di una ricerca che rivela la persistente presenza di numerose vulnerabilità nei BMC (Baseboard Management Controller), controller di gestione integrati nei server aziendali. Queste falle, già note dal 2013, continuano a esporre un numero significativo di sistemi in tutto il mondo.

La ricerca ha identificato oltre una dozzina di nuove vulnerabilità che interessano prodotti di diversi produttori leader del settore, tra cui HPE, Supermicro, Avocent, Huawei, Lenovo e Dell. I BMC sono essenzialmente piccoli computer autonomi all’interno dei server, dotati di firmware dedicato, sistema operativo e connessione di rete indipendente dal server principale che gestiscono.

Questi controller permettono agli amministratori di eseguire operazioni critiche da remoto, come il riavvio o la reinstallazione del sistema operativo, anche quando il server principale è spento. Tuttavia, questa stessa capacità di controllo, se sfruttata in modo improprio, può consentire a un attaccante di ottenere l’accesso completo al server e ai dati in esso contenuti.

Per quantificare la portata del problema, Moore ha condotto due scansioni separate. La prima si è concentrata sui BMC direttamente esposti su internet, rilevando oltre 86.000 controller raggiungibili pubblicamente. Di questi, più della metà (54%) presentava almeno una vulnerabilità critica. Un numero allarmante fino a 75.000 di questi sistemi rimane suscettibile a una specifica falla nel protocollo IPMI (Intelligent Platform Management Interface), scoperta per la prima volta dal ricercatore Dan Farmer nel 2013.

Questa vulnerabilità, identificata come CVE-2013-4786, permette a un attaccante di rubare gli hash delle password amministrative e decrittarli offline, ottenendo così l’accesso non autorizzato al BMC. La seconda scansione, condotta all’interno di reti aziendali private, ha analizzato oltre 126.000 BMC, rivelando che quasi il 29% presentava almeno una vulnerabilità critica.

L’accesso a questi controller rappresenta un obiettivo particolarmente appetibile per gli attaccanti che riescono a penetrare nella rete tramite tecniche di phishing o altri metodi iniziali. I BMC offrono infatti un punto d’appoggio persistente, consentendo agli aggressori di mantenere l’accesso al sistema anche dopo la rilevazione e la chiusura dell’accesso iniziale.

Le vulnerabilità identificate toccano diversi livelli del firmware dei BMC. Alcune riguardano il processo di autenticazione IPMI, dove un attaccante può manipolare l’ordine dei messaggi scambiati per ottenere un primo accesso limitato al controller. Questo accesso iniziale può poi essere sfruttato per concatenare ulteriori falle e ottenere il controllo completo del sistema.

Altre vulnerabilità riguardano la gestione delle sessioni, con identificatori di sessione troppo prevedibili in alcuni sistemi. Questo difetto di progettazione risale a scelte implementative fatte più di dieci anni fa e mai riviste. Inoltre, è stato scoperto che alcuni BMC accettano comandi non firmati e non cifrati anche su connessioni che dovrebbero essere protette.

Moore ha costruito una prova di concetto dimostrando come sia possibile concatenare falle apparentemente isolate per creare sessioni complete e funzionanti. Questo evidenzia il fatto che il rischio reale supera la semplice somma delle singole vulnerabilità identificate. Un’analisi indipendente condotta da Help Net Security ha confermato che alcuni BMC esposti restituiscono gli hash delle password prima ancora che l’utente completi il processo di login, semplificando ulteriormente il compito degli attaccanti.

La falla IPMI del 2013 (CVE-2013-4786) rimane la vulnerabilità più diffusa rilevata nella scansione di Moore. Colpisce in particolare i sistemi HPE iLO, Supermicro, OpenBMC e H3C. In risposta alla ricerca, Supermicro è stata tra le prime aziende a rilasciare una dichiarazione, confermando che tutte le schede madri interessate richiedono un aggiornamento del firmware BMC.

L’azienda ha reso disponibile l’aggiornamento per mitigare due vulnerabilità più recenti, identificate come CVE-2025-12006 e CVE-2025-12007. Tuttavia, Supermicro avverte che alcune piattaforme potrebbero richiedere un firmware di transizione prima di poter applicare la correzione definitiva, complicando il processo di aggiornamento per i reparti IT con flotte di migliaia di macchine da gestire.

Al momento della presentazione di Moore, HPE, Avocent, Huawei e Lenovo non avevano ancora pubblicato dettagli completi sulle proprie patch. Questo ritardo lascia intere flotte di server esposte più a lungo del necessario mentre i team di sicurezza attendono istruzioni chiare su cosa aggiornare per primo.

HD Moore è un nome noto nel campo della sicurezza informatica, essendo il fondatore di Metasploit nel 2003, lo strumento più utilizzato al mondo per testare la sicurezza di reti e applicazioni. La sua valutazione sullo stato dell’ecosistema BMC aggiunge ulteriore peso alla gravità del problema.

Le abitudini degli utenti relative alle credenziali rappresentano un ulteriore fattore di rischio. Molti BMC vengono ancora configurati con password predefinite o generate in fabbrica che sono deboli e facilmente indovinabili. Alcuni produttori utilizzano credenziali di appena otto caratteri alfanumerici, rendendo gli attacchi a forza bruta più efficaci.

Moore ha rilasciato uno scanner gratuito chiamato OOBscan, progettato per consentire agli amministratori di controllare l’esposizione della propria flotta di server. Questo strumento individua il problema, ma non lo risolve automaticamente. Le contromisure concrete rimangono quelle tradizionali: utilizzo di password lunghe e uniche, disattivazione di IPMI quando non necessario e isolamento di rete per ogni singolo controller.

Il problema dei BMC vulnerabili è il risultato di un ecosistema in cui la qualità del codice rimane indietro rispetto alle minacce emergenti. Dopo dodici anni dalla scoperta della prima falla, è difficile ignorare che il problema non riguarda solo un prodotto specifico, ma l’intera catena di fornitura hardware su cui le aziende costruiscono la propria infrastruttura.

Il modello di responsabilità diffuso nell’industria dei componenti server contribuisce a questo problema. Il produttore della scheda madre spesso acquista il firmware del BMC da un fornitore terzo specializzato, che lo adatta da una base di codice condivisa tra decine di clienti diversi. Una falla scoperta in un punto di questa catena può quindi ripresentarsi quasi identica in prodotti venduti sotto marchi diversi.

Risolvere il problema alla radice richiederebbe un cambiamento nel modo in cui l’intera industria certifica e aggiorna questo firmware condiviso, non solo una serie di patch pubblicate individualmente da ciascun marchio coinvolto. Un approccio coordinato e standardizzato è essenziale per garantire la sicurezza a lungo termine dell’infrastruttura server.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.