Hàng chục nghìn BMC/IPMI lộ mã băm mật khẩu trước khi đăng nhập
"Researchers reported that 24,650 of 36,872 internet-exposed BMC/IPMI management interfaces disclose password-derived authentication hashes before login due to CVE-2013-4786 in IPMI v2.0. The flaw enables offline password guessing against exposed UDP/623 services, with no patch available for the specification-level issue; mitigations include blocking access, rotating factory passwords, and restricting BMCs to private management networks."
Nguy cơ cao do lộ password-derived authentication hashes cho phép offline password guessing đối với dịch vụ IPMI/UDP 623; đặc biệt đáng chú ý là không có bản vá ở cấp đặc tả và có thể ảnh hưởng cả môi trường bare-metal/AI nơi giá trị máy chủ cao.
Có thể dẫn tới suy giảm kiểm soát vận hành khi BMC bị xâm nhập, vì BMC hỗ trợ quản trị OOB và có thể duy trì truy cập sau khi cài lại hệ điều hành; tác động tập trung vào các tổ chức có nhiều máy chủ công khai và phụ thuộc vào tự động hóa trung tâm.
Các nhà nghiên cứu cảnh báo về việc nhiều BMC/IPMI quản trị từ xa đang bị lộ ra Internet, cho phép thu thập thông tin xác thực trước khi người dùng đăng nhập. Theo báo cáo, tính đến 6/5/2026, có 36.872 máy chủ công khai chạy IPMI trên UDP/623, trong đó 24.650 giao diện trả về password-derived authentication hashes trước khi hoàn tất xác thực.
Nguyên nhân được liên hệ tới CVE-2013-4786 (CVSS 7.5), là lỗ hổng information disclosure trong IPMI v2.0. Theo mô tả, trong quá trình xác thực, BMC có thể trả về phản hồi chứa HMAC-SHA1 được tính từ mật khẩu tài khoản và giá trị phiên. Kẻ tấn công không cần đăng nhập vẫn có thể thực hiện offline password guessing bằng cách thử mật khẩu ứng viên dựa trên dữ liệu HMAC thu được.
Bản tin cũng nêu rằng không có bản vá ở cấp độ đặc tả; khuyến nghị gồm chặn UDP/623 ở rìa mạng, xoay mật khẩu factory trong giai đoạn provisioning, tắt các tùy chọn cũ/yếu như IPMI 1.5, và giới hạn truy cập BMC trong mạng quản trị riêng chỉ cho hệ thống quản trị được phê duyệt.