Anakart denetleyicilerindeki açıklar binlerce sunucuyu risk altına sokuyor

Dünyanın önde gelen üreticileri tarafından satılan ve internete bağlı binlerce sunucu, sistem anakartlarının derinliklerinde gizlenen kritik güvenlik açıkları nedeniyle uzaktan ele geçirilme riskiyle karşı karşıya bulunuyor. Bazıları on yıldan uzun süredir varlığını sürdüren bu açıklar, Las Vegas'ta düzenlenen Black Hat güvenlik konferansında paylaşılan araştırmalarla gözler önüne serildi.

Anakart yönetim denetleyicileri (BMC), neredeyse tüm kurumsal sunucuların anakartlarına entegre edilen mini bilgisayarlar olarak biliniyor. Kendi işletim sistemi yazılımlarına, ağ yığınlarına ve IP adreslerine sahip olan bu mikro denetleyiciler, yöneticilerin sunucuların fiziksel durumunu izlemesini, yeniden başlatma, güncelleme yükleme ve işletim sistemini yeniden kurma gibi işlemleri yapmasını sağlıyor. BMC'ler, sunucular kapalı veya yanıt vermez durumdayken bile çalıştıkları için "ışıklar kapalı" ve "bant dışı" yönetim imkanı tanıyor.

Araştırmacılar, 2013 yılından bu yana BMC'lerin veri merkezlerine sızmak isteyen korsanlar için büyük bir fırsat sunduğu konusunda uyarılarda bulunuyor. Bu durumun temel sorumlusu olarak, BMC'lerin sunuculardan bağımsız çalışmasını ve idari görevleri yerine getirmesini sağlayan IPMI protokolü gösteriliyor. Bu yazılımdaki zafiyetler, saldırganların denetleyiciler üzerinde kötü amaçlı kod çalıştırmasına ve dolayısıyla yönettikleri sunuculara bulaşmasına zemin hazırlıyor.

Firmware güvenlik uzmanı ve runZero şirketinin kurucusu HD Moore tarafından Black Hat konferansında sunulan araştırmalar, aradan geçen sürede pek çok şeyin değişmediğini ortaya koydu. Moore; HPE, Supermicro, Avocent, Huawei, Lenovo, Dell ve diğer üreticilerin BMC'lerinde bir düzineden fazla yeni güvenlik açığı tespit etti. Uzman, 2013 yılında uyardığı bazı zafiyetlerin, alınan düzeltme önlemlerine rağmen hâlâ aktif olduğunu belirtti.

Moore, konuşması öncesinde gönderdiği e-postada, durumun hem internete açık hem de kurumsal ağların içinde yaygın olan, yeterince izlenmeyen ve yamanmayan paralel bir saldırı yüzeyi oluşturduğunu vurgulayarak bu yapının tahmin edilenden çok daha fazla istismar edilebilir durumda olduğunu ifade etti.

Tehdidin boyutunu ortaya koymak amacıyla Moore gözetiminde iki büyük tarama gerçekleştirildi. Bunlardan ilki internet bağlantılı BMC'leri genel olarak tararken, diğeri kurumsal ağlardaki cihazları şirket içinde inceledi. Dış tarama sonucunda, kamuya açık bir yönetim hizmeti sunan 86 binden fazla BMC tespit edildi. Bu cihazların yüzde 54'ünden fazlasında bir veya daha fazla kritik zafiyet bulunduğu görüldü. Bunların yaklaşık 75 bininin, yönetici düzeyindeki BMC hesap parolalarının çevrim dışı kırılmasına olanak tanıyan ve IPMI 2.0 kimlik doğrulama protokolünde yer alan CVE-2013-4786 açığına karşı savunmasız olduğu belirlendi. İç taramada ise incelenen 126 bin 761 BMC'nin yüzde 29'a yakın bir kısmında kritik zafiyetler saptandı.

Moore'un keşfettiği yeni zafiyetlerin sayısı her geçen gün arttığı için kesin bir rakam vermek zorlaşıyor. Araştırmacı, üreticilerin bu açıkları kapatması için detayları gizli tutarken, sorunları genel olarak yedi farklı kategoride topladı:

Birinci kategoride, IPMI kimlik doğrulama el sıkışmasındaki kusurlar yer alıyor. Korsanlar mesaj alışveriş sırasını değiştirerek kimlik doğrulama gereksinimlerini atlayabiliyor ve denetleyiciye sınırlı bir giriş sağladıktan sonra diğer açıkları kullanarak idari erişim elde edebiliyor. Bu durumdan HPE iLO, Supermicro, OpenBMC ile H3C ve Nvidia'nın bu tabanlı ürünleri etkileniyor.

İkinci kategoride, IPMI'nin oturum sırasında bütünlük ve şifreleme korumalarını uygulayamaması bulunuyor. Cihazın, oturumun müzakere ettiği algoritmalar yerine saldırganın kendi başlığından gelen paketleri doğrulamaya karar vermesi, güvensiz komutların kabul edilmesine yol açıyor. Moore, geliştirdiği bir kavram kanıtı saldırısıyla bu tür açıkları tam oturumlara dönüştürebildiğini kaydetti. Etkilenen üreticiler arasında HPE, Supermicro ve Intel yer alıyor.

Üçüncü kategoride, öngörülebilir oturum belirteçleri dikkat çekiyor. Oturum belirteçlerinin güvenli rastgele kaynaklar yerine sayaçlardan veya saatten üretilmesi, saldırganın hem IPMI hizmeti hem de tarayıcı tabanlı KVM konsolları üzerinden başka bir kullanıcının canlı oturumunu ele geçirmesine imkan tanıyor. En belirgin iki hata Supermicro sistemlerinde görülüyor.

Dördüncü kategoride, kimlik doğrulama öncesi bellek bozulmaları yer alıyor. Yönetim SSH hizmetindeki uzunluk doğrulama hatası, kimlik doğrulamadan önce erişilebilir durumda olup kötü amaçlı kod çalıştırmak için kullanılabiliyor. Moore bu zafiyetleri HPE iLO sistemlerinde buldu.

Beşinci kategoride, imzasız veya saldırgan tarafından kontrol edilebilir firmware varlığı ile zorunlu kılınmayan yapılandırma bütünlüğü göze çarpıyor. Kimliği doğrulanmış bir yönetici, kalıcı bir implant yükleyebilir veya firmware doğrulama anahtarını değiştirebilir. Bu açıklar Supermicro, H3C ve Dell sistemlerini etkiliyor.

Altıncı kategoride, firmware'den canlı kimlik bilgileri olarak kurtarılabilir sırların kullanımı bulunuyor. Halka açık firmware'den çıkarılabilen anahtarlar, BMC'lere kimlik doğrulamak veya trafiğin şifresini çözmek için kullanılabiliyor. Supermicro, OpenBMC, Huawei ve Dell bu grupta yer alıyor.

Yedinci kategoride ise CVE-2013-4786 aracılığıyla hash ifşası ile tehlikeye atılabilen varsayılan ve fabrikasyon rastgele kimlik bilgileri yer alıyor. Cihazlar genellikle varsayılan kimlik bilgilerini kullanmaya devam ediyor. Şifreler gönderilmeden önce değiştirilmiş olsa bile, fabrikada rastgele oluşturulan şifrelerin küçük anahtar uzayları, çevrim dışı kırma saldırılarıyla kurtarılabilmelerini sağlıyor. Bu konuda HPE en zayıf üretici olarak öne çıkarken, Supermicro ve Dell biraz daha uzun varsayılanlar kullanarak saldırı maliyetini artırıyor.

Zafiyetlerin birçoğunun kimlik doğrulama sonrasında istismar edilmesi gerekse de, bu koşul genellikle Moore'un tespit ettiği kimlik doğrulama öncesi açıkları kullanarak sağlanabiliyor. Diğer durumlarda, BMC'ye sınırlı erişim kazanan korsanlar, burayı eski, yamalanmamış veya arka kapı eklenmiş bir firmware görüntüsü yüklemek için kullanabiliyor. Ardından saldırgan, işletim sisteminin kontrolünü ele alarak BMC'ye daha fazla müdahale edebiliyor.

BMC açıklarının istismar edilmesi yalnızca teorik bir ihtimalle sınırlı kalmıyor. 2021 yılında araştırmacılar, HPE sunucularına sabit sürücülerdeki verileri yok eden silici firmware ile bulaşan ILObleed adlı kötü amaçlı bir implant keşfetmişti. Yöneticiler işletim sistemini yeniden kurup diskleri değiştirse bile ILObleed kalmaya devam ederek veri silme saldırısını yeniden başlatabiliyordu. Saldırganların kullandığı bu açık, HPE BMC'lerinde dört yıl önce yamalanmış olmasına rağmen etkilenen cihazlara yüklenmemişti.

Geçtiğimiz yıl, Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bir AMI BMC'deki kritik bir açığı bilinen istismar edilen zafiyetler listesine dahil etmişti.

Moore, yöneticilerin sunucu filolarını tarayarak artan BMC zafiyetlerini tespit etmeleri için OOBscan adını verdiği açık kaynaklı bir araç yayınladı. Yöneticiler bu aracı çalıştırmanın yanı sıra uzun kullanıcı adları ve karmaşık parolalar belirleyerek, IPMI ve KCS erişimlerini mümkün olduğunca devre dışı bırakarak ve her BMC ağ kartını ayrı ayrı izole ederek bu saldırılara karşı önlem alabiliyor.

Moore, BMC'lerin hâlâ yeterince önemsenmeyen bir risk teşkil ettiğini ve ekosistemin kod kalitesi ile mimari açısından geride kaldığını belirtti.