I controller nascosti nelle schede madri possono offrire accessi persistenti ai data center e sopravvivere perfino alla reinstallazione del sistema operativo
LA NOTIZIA IN BREVE – Dietro ogni grande rete aziendale opera un sistema quasi invisibile che continua a controllare i server anche quando il sistema operativo è spento o bloccato. Sono i Baseboard Management Controller, piccoli computer integrati nelle schede madri e utilizzati per riavviare le macchine, installare aggiornamenti e intervenire a distanza. Proprio questi dispositivi, però, possono trasformarsi in una porta d’ingresso privilegiata per gli attaccanti.
Una ricerca presentata alla conferenza Black Hat ha individuato oltre 86.000 BMC accessibili da Internet: più della metà presentava almeno una vulnerabilità critica. Alcune falle consentono di aggirare l’autenticazione, prevedere le sessioni degli amministratori o installare firmware alterati capaci di sopravvivere perfino alla sostituzione dei dischi e alla reinstallazione del sistema operativo.
Il problema riguarda produttori come HPE, Dell, Supermicro, Huawei e Lenovo e mette in luce una superficie d’attacco potente, poco monitorata e spesso aggiornata in ritardo. La difesa passa dall’isolamento delle reti di gestione, dalla disattivazione dei servizi inutili e da controlli sistematici su firmware e credenziali.
Se vuoi andare oltre alla sintesi della nostra notizia leggi qui di seguito l’approfondimento
L’APPROFONDIMENTO – Buona parte delle infrastrutture che consentono a Internet di funzionare correttamente sono affette da gravi problemi di sicurezza, con vulnerabilità critiche rimaste aperte in alcuni casi anche per oltre un decennio. I controller, che permettono agli amministratori di accendere, spegnere e ripristinare da remoto i server, si stanno rivelando uno dei punti più critici dei data center. Una ricerca presentata il 5 agosto alla conferenza Black Hat USA di Las Vegas ha individuato più di una dozzina di nuove vulnerabilità nei Baseboard Management Controller (BMC), utilizzati nei sistemi di alcuni dei maggiori produttori mondiali. Nella scansione dei dispositivi raggiungibili da Internet, oltre 86.000 controller si sono dimostrati “potenzialmente pericolosi”, perché esponevano almeno un servizio di amministrazione. Inoltre, più del 54 per cento, presentava una o più criticità considerate dagli esperti “gravi”.
Che cosa sono i BMC
Un BMC è un piccolo computer incorporato nella scheda madre del server. Possiede un proprio processore, un firmware, uno stack di rete e spesso un indirizzo IP distinto da quello del sistema principale. Continua a funzionare anche quando la macchina è spenta, bloccata o priva di un sistema operativo funzionante. È questa indipendenza a rendere possibile la gestione out-of-band: controllo delle temperature, verifica delle ventole e degli alimentatori, riavvio, accesso alla console, montaggio di immagini virtuali e reinstallazione completa del sistema operativo.
Lo stesso privilegio operativo, però, offre a un intruso un punto d’ingresso eccezionale. Chi controlla il BMC può osservare o modificare il server da un livello collocato sotto Windows, Linux, hypervisor e normali strumenti di sicurezza. Un antivirus installato sulla macchina principale può quindi non vedere ciò che accade nel controller; persino la sostituzione dei dischi o la reinstallazione del sistema operativo può lasciare intatto un impianto malevolo nascosto nel firmware. Già nel 2013 le analisi di HD Moore e Dan Farmer descrivevano un accesso paragonabile, per capacità, a quello fisico sul server.
Leggi di più
Che cosa ha permesso di scoprire la nuova ricerca
Il lavoro è stato condotto da HD Moore, fondatore di Metasploit e oggi fondatore e amministratore delegato della società di sicurezza runZero. Il ricercatore ha coordinato due rilevazioni su larga scala: una rivolta ai sistemi esposti pubblicamente e una realizzata all’interno di reti aziendali. Nella prima sono stati identificati più di 86.000 BMC con servizi di gestione accessibili da Internet; oltre la metà mostrava almeno una vulnerabilità critica. La seconda ha esaminato 126.761 controller presenti in infrastrutture interne e ha trovato problemi critici in quasi il 29 per cento dei dispositivi.
Le cifre non equivalgono al numero di server già violati e non dimostrano che ogni controller individuato possa essere compromesso nello stesso modo. Descrivono piuttosto l’ampiezza di una superficie d’attacco che molte organizzazioni trattano come una rete tecnica secondaria, separata dai normali inventari informatici e aggiornata con ritardi maggiori rispetto ai sistemi operativi.
I dati provengono dalla stessa runZero, che commercializza servizi di gestione dell’esposizione: la società ha pubblicato lo strumento aperto OOBscan, ma non ha ancora diffuso tutti i dettagli tecnici delle nuove falle perché alcune procedure di notifica ai produttori risultano in corso. Il repository definisce infatti il software una pre-release priva dei controlli completi per le vulnerabilità ancora sottoposte a divulgazione coordinata.
Leggi di più
Come possono essere aggirate le protezioni?
Le debolezze individuate vanno a comporre una serie di problemi che possono essere concatenati. In alcune implementazioni un malintenzionato può alterare la sequenza prevista dallo scambio di autenticazione IPMI e ottenere un primo accesso pur non avendo delle credenziali valide. In altre, il controller accetta comandi non firmati o non cifrati all’interno di una sessione che avrebbe dovuto essere protetta, fidandosi ciecamente delle indicazioni contenute nello stesso pacchetto inviato dal pirata informatico.
La ricerca ha inoltre ravvisato degli altri problemi. Secondo gli analisti è possibile sfruttare degli identificatori di sessione generati attraverso contatori o orologi anziché con numeri casuali sicuri. Se il valore diventa prevedibile, un intruso può tentare di assumere il controllo di una sessione già aperta, compresa quella della console remota keyboard-video-mouse.
A queste falle si aggiungono corruzioni della memoria raggiungibili prima dell’autenticazione, chiavi recuperabili dai firmware pubblici, credenziali predefinite o generate in fabbrica con spazi di ricerca ridotti e procedure che consentono di installare firmware non firmati o di sostituire le chiavi usate per verificarli.
Le implementazioni citate comprendono, con combinazioni differenti, prodotti o componenti di HPE, Supermicro, Dell, Huawei, H3C, Lenovo, Avocent, OpenBMC, Nvidia e diversi sistemi Intel meno recenti. Ovviamente la presenza di un marchio nell’indagine non implica che ogni modello o versione di quel produttore sia da considerarsi vulnerabile.
Il vero salto di rischio nasce dalle catene di attacco. Una falla che da sola concede soltanto informazioni limitate può permettere di raggiungere una seconda vulnerabilità, ottenere privilegi amministrativi e infine modificare il firmware. In senso inverso, chi ha già compromesso il sistema operativo può usare l’accesso locale al BMC per installare una versione vecchia, vulnerabile o deliberatamente alterata, trasformando un’intrusione inizialmente rimovibile in una presenza persistente.
Perché una vulnerabilità del 2013 pesa ancora oggi?
Il caso più evidente è CVE-2013-4786, pubblicato nel luglio 2013 e legato al protocollo di autenticazione RAKP previsto da IPMI 2.0. Il difetto consente a un soggetto remoto, prima di effettuare il login, di ottenere un valore crittografico derivato dalla password di un account valido. Il codice segreto non viene consegnato direttamente, ma l’aggressore può portare il materiale fuori dalla rete e provare milioni di combinazioni senza ulteriori contatti con il server.
Il National Vulnerability Database assegna alla falla un punteggio CVSS 7,5 su 10 e la classifica come vulnerabilità ad alta gravità.
Il problema è particolarmente scomodo perché nasce dalla specifica, non soltanto da un errore isolato di programmazione. Dell, in una propria nota tecnica, afferma che per questa vulnerabilità non esiste una patch risolutiva e raccomanda di disattivare IPMI-over-LAN; quando il servizio deve rimanere attivo, indica password robuste, liste di controllo degli accessi e reti isolate.
Stando ai dati emersi, sarebbero almeno 75.000 i sistemi che possano ancora risultare esposti a questa classe di attacco. Il dato include, tuttavia, valutazioni ottenute con criteri e livelli di verifica differenti e non va letto come una conta di compromissioni certe.
La longevità della falla mostra anche il limite della sola politica di aggiornamento. Installare firmware recenti resta essenziale, ma un protocollo progettato in modo debole richiede misure architetturali: riduzione dell’esposizione, segmentazione, credenziali uniche e controllo rigoroso di chi può raggiungere la rete di gestione.
Un attacco al BMC può sopravvivere alla bonifica?
Non si tratta soltanto di uno scenario da laboratorio. Tra il 2021 e il 2022 venne documentato iLOBleed, un impianto malevolo inserito nel firmware iLO di server HPE. Il codice poteva cancellare i dati presenti sui dischi e mantenersi nel controller mentre gli amministratori reinstallavano il sistema operativo o sostituivano le unità. La stessa HPE confermò che il malware aveva sfruttato una vulnerabilità di autenticazione ed esecuzione di codice in iLO 4, identificata come CVE-2017-12542, per la quale il produttore aveva già pubblicato aggiornamenti nel 2017.
Nel giugno 2025 anche la statunitense CISA ha inserito nel catalogo delle vulnerabilità sfruttate attivamente CVE-2024-54085, un bypass dell’autenticazione nel firmware AMI MegaRAC SPx usato da differenti piattaforme server. L’inclusione nel catalogo non prova che le nuove vulnerabilità presentate da Moore siano già impiegate in campagne criminali; conferma però che i BMC costituiscono un potenziale bersaglio operativo.
Che cosa può accadere dopo la compromissione
Le conseguenze dipendono dal modello e dalle funzioni abilitate. Un malintenzionato con privilegi elevati può riavviare o spegnere il server, cambiare la sequenza di avvio, collegare un’immagine virtuale, osservare la console, creare utenti di amministrazione, intercettare operazioni e preparare la reinstallazione di un sistema già modificato. Nei casi più gravi può mantenere una backdoor che resiste agli interventi eseguiti sul sistema operativo.
La compromissione di un singolo BMC può inoltre diventare il punto di partenza per spostarsi nella rete di gestione. Molti data center raggruppano numerosi controller nella stessa VLAN o consentono loro di comunicare con servizi centrali, server di autenticazione e postazioni degli amministratori. Una segmentazione soltanto nominale può quindi trasformare la rete progettata per il recupero d’emergenza in un corridoio laterale verso altri sistemi.
Esiste anche un rischio di disponibilità. Studi precedenti hanno mostrato che l’accesso ai controller e ai bus di gestione può essere sfruttato per interferire con componenti hardware e, in particolari configurazioni, alterare parametri elettrici del processore. Non tutte le piattaforme sono esposte a questi scenari, ma il principio rimane: il BMC non è una semplice pagina web di amministrazione; è collegato a funzioni fisiche essenziali della macchina.
Che cosa significa per le infrastrutture italiane?
La ricerca non pubblica una ripartizione per Paese e non permette di stabilire quanti sistemi vulnerabili si trovino in Italia. Il problema riguarda però direttamente data center, operatori cloud, telecomunicazioni, pubbliche amministrazioni, ospedali, università, industria e società finanziarie che utilizzano server dotati di gestione remota. In questi ambienti i BMC possono rimanere in servizio per molti anni, spesso oltre il normale ciclo di supporto del sistema operativo installato sulla macchina.
Per i soggetti essenziali e importanti sottoposti alla disciplina NIS2, recepita in Italia con il decreto legislativo 138/2024, l’inventario degli asset, la gestione delle vulnerabilità, il trattamento del rischio e la sicurezza della catena di fornitura non sono attività accessorie. Le specifiche di base dell’Agenzia per la cybersicurezza nazionale includono espressamente l’identificazione delle vulnerabilità e la loro gestione secondo il rischio.
Nel settore finanziario, il quadro DORA richiede procedure documentate di gestione delle vulnerabilità e delle patch. Un BMC dimenticato dall’inventario può rappresentare insieme un problema tecnico e una lacuna nel sistema di conformità.
La priorità, ora, è quella di verificare se le interfacce di gestione esistono, dove sono collegate, quali versioni eseguono e chi può raggiungerle. Il fatto che un indirizzo non compaia tra i sistemi normalmente monitorati non lo rende invisibile a un aggressore.
Come si riduce il rischio senza perdere la gestione remota?
Per le aziende è ora fondamentale preparare un inventario. Le organizzazioni devono individuare tutti i BMC, comprese le interfacce che condividono la scheda di rete del server e quelle raggiungibili soltanto dall’interno. OOBscan è stato pubblicato proprio per enumerare controller, servizi IPMI, firmware noti, credenziali predefinite e perdite di informazioni prima dell’autenticazione. Lo strumento è destinato a verifiche autorizzate e, nella versione iniziale, non incorpora ancora tutti i controlli relativi alle falle in fase di coordinamento con i produttori.
Il secondo passaggio è eliminare l’esposizione diretta a Internet. IPMI va disattivato quando non serve; lo stesso vale, dove possibile, per KCS, l’interfaccia che consente al sistema operativo ospite di comunicare con il controller. Quando la gestione remota è indispensabile, i BMC devono essere collocati in reti dedicate, protette da ACL, firewall, VPN o jump host, evitando VLAN troppo ampie nelle quali decine o centinaia di controller possano raggiungersi liberamente.
Credenziali e firmware completano il lavoro. Servono nomi utente non prevedibili, password lunghe e differenti per ogni dispositivo, eliminazione degli account predefiniti, aggiornamenti verificati, controllo delle firme del firmware e registrazione separata degli accessi. Sui sistemi per i quali il produttore non offre più correzioni, la mitigazione di rete diventa decisiva e può rendersi necessaria la sostituzione programmata dell’hardware.
Link e fonti
Ricerca originale, strumenti tecnici, database delle vulnerabilità e bollettini utilizzati per verificare e approfondire la notizia.
-
Approfondimento giornalistico
Thousands of servers can be backdoored by exploiting buggy motherboard controllers
L’articolo presenta la ricerca di HD Moore, i risultati delle scansioni sui controller BMC e le principali categorie di vulnerabilità individuate nei sistemi dei maggiori produttori.
Leggi l’approfondimento -
Strumento open source
OOBscan – Scanner per i sistemi di gestione fuori banda
Il programma sviluppato nell’ambito della ricerca identifica BMC, servizi IPMI, credenziali predefinite, firmware vulnerabili e perdite di informazioni precedenti all’autenticazione.
Consulta OOBscan -
Database delle vulnerabilità
CVE-2013-4786 – Recupero remoto degli hash delle password IPMI
La scheda tecnica descrive la debolezza del protocollo RAKP di IPMI 2.0, che può esporre materiale crittografico utilizzabile per tentare la violazione offline delle password.
Consulta la vulnerabilità -
Nota tecnica del produttore
IPMI 2.0 Password Hash Disclosure: rischi e misure di mitigazione
Dell chiarisce che CVE-2013-4786 deriva dalla specifica IPMI 2.0 e indica la disattivazione di IPMI-over-LAN come principale misura di protezione quando il servizio non è necessario.
Consulta la nota tecnica -
Avviso di cybersicurezza
CVE-2024-54085 inserita nel catalogo delle vulnerabilità sfruttate
La CISA ha inserito il bypass di autenticazione di AMI MegaRAC SPx nel catalogo KEV dopo aver rilevato prove del suo sfruttamento attivo, invitando le organizzazioni a ridurre rapidamente l’esposizione.
Consulta l’avviso CISA -
Bollettino di sicurezza
HPE iLO 4 e il malware persistente iLOBleed
Il bollettino conferma che la vulnerabilità CVE-2017-12542 dei controller iLO 4 può essere sfruttata per installare il rootkit iLOBleed e ottenere una presenza persistente nel firmware.
Consulta il bollettino
Note per i lettori
L’immagine usata per questo articolo è stata creata grazie all’utilizzo di un sistema di Intelligenza Artificiale
