インターネットに露出した2万4650台のBMCが認証ハッシュを漏洩、初期パスワードは最短32秒で解読

セキュリティ企業Lavaの調査により、インターネットに露出した2万4650台のサーバー管理コントローラー（BMC）が、ログインが完了する前に、解読可能なパスワード由来の認証ハッシュを要求者へ返していることが確認された。最新のGPUを用いれば、システムを保護するための初期パスワードを最短32秒で復元できるという。この問題は22年前に策定されたプロトコルに存在し、修正パッチはなく、すでに実際の攻撃にも利用されている。

これは新たな脆弱性ではない。CVE-2013-4786は2013年に命名、文書化されたもので、問題となる仕組みは2004年に導入されたIPMI 2.0の認証仕様に組み込まれている。セキュリティ研究者のDan FarmerとHD Mooreも2013年に詳細を説明していた。Lavaが2026年7月29日に公開した調査から明らかになったのは、13年間にわたって問題が公知だったにもかかわらず、数万の組織が対策していないこと、そしてカリフォルニア州のIoTセキュリティ法「SB-327」に対応するため業界が導入した初期パスワードの固有化でも、このリスクを解消できなかったことである。対象となる組織は、管理ポートを直ちにインターネットから遮断し、すべての初期パスワードを変更する必要がある。

■コンプライアンス対応では防げなかった根本的な設計上の問題

Supermicroは2019年11月、カリフォルニア州のSB-327に対応するため、全製品共通の初期認証情報「ADMIN／ADMIN」を廃止した。代わりに、大文字の英字からなる固有の10文字のパスワードを、各筐体に貼付したラベルへ印刷する方式に変更した。SB-327はインターネット接続機器に製品ごとに異なる認証情報を使用するよう求めており、この変更はセキュリティ上の有意義な改善と広く受け止められていた。

しかし、Lavaの調査は、この対応だけでは不十分だったことを示している。問題はSupermicroが筐体ラベルにどのようなパスワードを印刷するかではなく、IPMI 2.0の認証ハンドシェイク、具体的にはRMCP+ Authenticated Key-Exchange Protocol（RAKP）の仕様にある。

BMCはUDPポート623への接続要求を受けると、要求者の身元を確認する前に、パスワードから生成した暗号学的な認証ハッシュを送信する。攻撃者はこのハッシュを取得して接続を切り、自身のハードウェア上でGPUの性能が許す限りの速度でパスワード候補を検証できる。ターゲットシステム側にはアカウントのロックアウトもレート制限もなく、ログイン失敗イベントも記録されない。CVE-2013-4786は、まさにこのIPMI 2.0仕様の設計上の欠陥を示したものだ。

大文字の英字のみで構成される10文字のパスワードには、理論上26の10乗、約141兆通りの組み合わせがある。しかし、RTX 6000 PROを8基搭載し、パスワード解析ツールのHashcatを実行する検証用サーバーでは、約1時間でこの検索空間全体を調べられる。

Lavaは、外部からのセキュリティテストを認めるポリシーを公開していた米国のベアメタルGPU事業者が運用する、2023年世代のSupermicro X13DEMシステム2台で検証した。いずれも筐体ラベルに記載された初期パスワードを使用しており、Lavaは両方のパスワードを復元した。

HPEのiLOプラットフォームは異なる初期パスワード形式を使用している。大文字の英字と数字からなる8文字で、検索空間は36の8乗、約2.8兆通りとなり、Supermicroの約50分の1である。同じ8基のGPUを搭載した環境では、Lavaは取得したハッシュ1件当たり約32秒で、検証用サーバーのHPE iLO初期パスワードを復元した。Apple M3では、同じ検索に約1日を要した。

初期認証情報を使用したSupermicroまたはHPEのサーバーを運用し、その管理インターフェースをインターネットに露出させている組織にとって、これが重視すべき現実的な所要時間である。

■セキュリティスタックの下層で動作するBMCの脅威

BMC（Baseboard Management Controller）は、サーバーのマザーボードにはんだ付けされた専用プロセッサである。メインのOSとは独立して動作し、独自のネットワーク接続を維持する。サーバーの電源が入っている場合だけでなく、電源が切れている場合や、サーバーが完全に応答しない場合でも動作し続ける。

管理者はBMCを利用して、ハードウェアの電源を入れ直したり、仮想ストレージをマウントしたり、ファームウェアを更新したりできる。遠隔地のデータセンターへ技術者を派遣することなく、サーバーのリモートコンソールを開くことも可能だ。

こうした機能により、BMCは物理サーバー環境で最も強い権限を持つ制御ポイントの1つとなっている。同時に、侵害されたBMCは特に危険な存在でもある。一般的なエンドポイントセキュリティツールのほぼすべてが、OSか、それより上位のレイヤーで動作しているためだ。

有効な認証情報を使ってアクセスされたBMCや、悪意のあるファームウェアに置き換えられたBMCは、その下層を保護できないウイルス対策ソフト、EDR、侵入検知システム、カーネルセキュリティツールなどから事実上見えなくなる。NSAとCISAも2023年の共同アドバイザリで、この問題を明示している。

調査を主導したLavaの研究者Michael Katchinskiyは、次のように述べている。「侵害されたBMCは、防御側を極めて困難な状況に置く。ほとんどのセキュリティツールは、OS、カーネル、コンテナ、ワークロードを監視している。BMCはその信頼境界の外側で動作するため、攻撃者はホストの下層を制御しながら、それを保護するために設計されたツールからほぼ見えない状態を維持できる」

NSAとCISAは2023年の共同サイバーセキュリティ情報シートで同様の指摘を行い、EDRソフトウェア、IDS／IPS、マルウェア対策製品、TPMによるアテステーションは、侵害されたBMCに対して有効ではないと明記した。このガイダンスは3年以上前に公開されたが、Lavaのスキャン結果は、数万の組織がまだ対応していないことを示している。

■露出したホストは3万6872台、毎日60台が新規に増加

2026年5月6日、Lavaの研究者はインターネットスキャンツールのShodanを使用し、UDPポート623で応答する、インターネットからアクセス可能なサービスを調査した。UDPポート623はIPMIの管理ポートで、本来パブリックインターネットに公開すべきものではない。検索の結果、3万6872台の固有ホストが確認された。

そのうち約3分の2に当たる2万4650台が、CVE-2013-4786の影響により、ログインが完了する前にパスワード由来のHMAC-SHA1認証ハッシュを返した。研究者らは、このハッシュを一般的なパスワードリストや、主要ベンダーが採用する既知の初期パスワード形式と照合した。

その結果、6240台は空のユーザー名を受け付け、公開されているパスワードリストに一致する脆弱なパスワードで保護されていた。さらに2340台は、主に「ADMIN」または「root」という管理者アカウントを使用し、標準的な辞書攻撃の最初の試行範囲に含まれるパスワードを設定していた。

全体として、研究者らは網羅的な検索を行うことなく、脆弱なシステムの30％超で正しい認証情報を復元できた。露出したサーバーの約39％は米国にあり、ドイツ、中国、オランダ、英国にも多く存在していた。

2026年5月から7月にかけて、LavaはIPMIを露出させた、それまで確認されていなかったIPアドレスを、1日平均約60件観測した。インターネットに露出したサーバーの集団は固定されたものではなく、増え続けている。

■認証の欠陥と過去の攻撃事例

RAKPハンドシェイクは、本来は双方が互いに身元を証明する相互認証プロセスである。しかし、その処理順序に問題がある。

クライアントが接続を開始すると、BMCはハンドシェイク初期のメッセージである「RAKP MESSAGE 2」への応答として、アカウントのパスワードと、セッション設定時にクライアントが提供したランダム値を使って計算したHMAC-SHA1認証コードを返す。この時点でクライアントはまだ何も証明していないが、BMCはパスワードに由来する認証情報を送信してしまう。この設計は、米国のNational Vulnerability DatabaseにあるCVE-2013-4786の項目にも記録されている。

攻撃者はこの応答を取得して接続を切ることで、ソルトと秘密鍵に相当するパスワードを使用したハッシュを入手する。これはHashcatなどのツールで解析できる。既知の入力に対してパスワード候補ごとにHMACを再計算し、取得した値と一致すれば、正しいパスワードを特定できる。

この処理ではサーバーと再び通信する必要がなく、ターゲット側にログも残らない。解析速度を制限するのは、攻撃者が使用するローカル環境の計算性能だけである。

これはSupermicroやHPEのファームウェア固有のバグではなく、IPMI 2.0仕様自体の設計上の選択である。プロトコルを置き換えずに修正できるベンダーパッチは存在しない。正しい対策は構成とネットワーク設計を見直すことであり、サービスをインターネットから切り離し、システムを本番投入する前にすべての初期認証情報を変更する必要がある。

Dan Farmerは2013年、「IPMI: Freight Train to Hell」と題した文書で主要なIPMIの脆弱性を取り上げ、リモートからのハッシュ漏洩の仕組みと、初期認証情報がリスクを拡大する理由を詳しく説明した。同年、Rapid7のHD Mooreも、IPMIハッシュの取得や一般的なパスワードとの照合に使用できる具体的なMetasploitモジュールを含む、実践的な攻撃手法の解説を公開した。その内容は現在も通用する。

攻撃の可能性は理論上のものではない。2018年には「JungleSec」と特定されたランサムウェア攻撃の実行者が、デフォルト認証情報を使用した、インターネットに露出するIPMIインターフェースを標的にした。組み込みのKVMリモートコンソールを通じてホストOSへアクセスし、サーバーを暗号化したうえで、管理ネットワークを経由して別の標的へ侵入した。

2019年にはEclypsiumの研究者が「Cloudborne」と名付けたSupermicro製品のハードウェア脆弱性を実証した。この脆弱性を利用するとBMCファームウェアを書き換えることができ、クラウド事業者が同じサーバーを新たな利用者へ再割り当てした後も攻撃者の仕組みが残存する可能性があった。

技術的に最も高度な攻撃事例として記録されているものの1つが、イランのサイバーセキュリティ企業Amnpardazが2021年末に分析結果を公表した「iLOBleed」である。これはHPE iLO 4のファームウェアを標的とする持続的なBMCルートキットで、2020年以降、実際の環境で活動していたことが確認された。

iLOBleedは、ファームウェア更新が成功したように見せかけながら実際のインストールを妨害し、更新を試みた後も残り続けるよう設計されていた。Eclypsiumは、その持続性が既知のHPE iLOファームウェア脆弱性によるものだとしている。このルートキットはイランの組織を狙ったディスク消去攻撃に使用され、高度な持続的脅威によるものと評価された。

Lavaの2026年の調査では、インターネットに露出したHPE iLO 4の管理ページで、セキュリティ通知欄が改ざんされ、0.3 BTCの身代金要求と、被害者が連絡するための使い捨てメールアドレスが表示されている事例も確認された。0.3 BTCは2026年7月29日時点のレートで約1万9273ドル、1ドル＝164円で換算すると約316万円に相当する。暗号資産と円への換算額はいずれも概算である。

研究者らは、基盤となるサーバー上のデータが暗号化されていたかどうかまでは確認できなかった。一方、管理画面が改ざんされていたことから、攻撃者が管理レイヤーへのアクセスを取得していたことは確認された。

■ベンダーの対応とデータセンター全体へのリスク

Lavaは2026年6月、初期パスワードの解読結果を含む調査内容をSupermicroへ通知した。Supermicroは、現在のマルチGPU環境の性能を考慮すれば、初期パスワード形式からのオフライン復元は現実的なシナリオだと確認した。

同社は、プロビジョニング時にBMCパスワードを変更し、管理ネットワークをパブリックインターネットから切り離すという従来のガイダンスを改めて示した。将来のハードウェア改訂では、パスワードを長くすることや使用文字の種類を増やすことを含め、デフォルトのパスワードポリシーの変更を検討するとしている。

ただし、記事公開時点でこうした変更を採用した製品は出荷されていない。Lavaが検証した2023年世代のサーバーには、現行の初期パスワード形式が使われていた。

HPEにも脆弱性情報が通知されたが、記事公開時点で得られたのは自動受領通知のみで、セキュリティチームからの実質的な回答はなかった。HPEは過去に、iLO 2からiLO 5までに影響するIPMI 2.0のRAKPハッシュ漏洩についてアドバイザリを公開し、プロトコルレベルの問題であることを認めている。

リスクは単一のサーバーにとどまらない。多くのデータセンターでは、BMCインターフェースが、同じ施設内にある数十台から数百台のコントローラーと帯域外管理ネットワークを共有している。こうしたネットワークでは認証情報が使い回されることも多く、本番インフラほど厳格に監視されていない。

共有ホスティングやベアメタルGPU環境では、リスクがさらに大きくなる。複数の顧客が、事業者の管理する同じ管理ネットワークへ接続されたサーバーを借りる場合がある。1台のBMCから復元した認証情報が、同じネットワーク上にある他のすべてのサーバーの管理インターフェース、さらには別の利用者が所有するマシン上のワークロードへ到達する経路になる可能性がある。

Lavaの研究者らは、「物理GPUサーバーは、仮想化、GPUパーティショニング、その他の共有方式を通じて、複数の利用者やワークロードを支える場合がある。そのような環境では、1台の物理サーバーが侵害されることで、複数顧客のワークロードが中断したり、外部に露出したりする可能性がある」と指摘している。

攻撃者が侵害したBMCを通じて悪意のあるファームウェアを導入した場合、復旧はハードウェアレベルの問題となる。悪意のあるファームウェアは、OSの再インストール、ディスクの交換、標準的なインシデント対応手順を実施した後も残存する可能性がある。検証済みファームウェアへの再書き込みを行うか、深刻な場合には物理ハードウェアを交換しない限り、そのサーバーを信頼できない。

■組織が取るべき6つの対策

Lavaの対策ガイダンスは、NSAとCISAによる2023年の共同アドバイザリと同様に、「IPMIをパブリックインターネットから決して到達可能にしてはならない」という原則を中心に据えている。

第1に、ネットワーク境界でUDPポート623をブロックする。これにより、インターネット経由で未認証のままRAKPハッシュを取得されることを防ぐ。

第2に、工場出荷時に設定されたすべてのBMCパスワードを直ちに変更する。システムを本番環境へ投入する前に実施し、ベンダー固有の限定された形式に従わないパスワードを使用する。

第3に、BMCインターフェースを専用のプライベート管理VLANへ隔離する。BMCへのアクセスはVPNや踏み台ホストなどの管理された経路だけを通し、ネットワークのアクセス制御リストによって、管理インターフェースへ到達できる管理用システムを限定する。

第4に、旧式のIPMI機能を無効化する。IPMI 1.5のサポート、未認証アクセスを許す暗号スイート0、匿名認証、「NONE」認証モードを無効にする。

第5に、隔離されたネットワーク内での管理には、IPMIよりもRedfishを優先する。RedfishはIPMIの後継となるHTTPSベースの管理規格である。設定ミスの影響を受けないわけではないが、RAKPにおける認証前のハッシュ漏洩という同じ欠陥は持たない。

第6に、管理ネットワークを独立して監視する。通常のワークロードと同等の厳格さで、帯域外管理トラフィックのログ記録とアラートを運用する。BMCインターフェースへの異常なアクセスは、重大度の高い兆候として扱う必要がある。

主要ベンダーのBMC実装では、IPMI、Redfish、ブラウザー上の管理インターフェースが単一の認証情報データベースを共有していることが多い。このため、IPMIハンドシェイクを通じて解読されたパスワードによって、3つの管理手段すべてへ同時にアクセスされる可能性がある。

■注目ポイントQ&A

●これらのサーバーから正確には何が漏洩しており、なぜそれが問題なのですか？

IPMI 2.0を実行するサーバーがUDPポート623で接続要求を受け取ると、接続元が身元を証明する前に、アカウントのパスワードから生成された暗号学的な認証値を返します。攻撃者はこの値を取得して接続を切り、ターゲットシステム側でアカウントをロックされたりログを残したりすることなく、GPUの速度でパスワード候補をローカル検証できます。

HPEの初期パスワード形式を使用しているサーバーの場合、8基のGPUを搭載したワークステーションで約32秒かかります。Supermicroの現行の初期パスワード形式の場合、標的を定めた攻撃者は同じハードウェアで約1時間を要します。

●SB-327コンプライアンスの変更（固有の初期パスワード）によって、この問題は解決されなかったのですか？

解決されていません。カリフォルニア州のSB-327は、機器メーカーに対し、共有のデフォルトパスワードではなく、製品ごとに異なる固有のパスワードを使用するよう求めました。Supermicroは2019年11月にこの変更を実施しています。

しかし、脆弱性はパスワードが単純か、使い回されているかではなく、認証プロトコル自体にあります。IPMI 2.0のRAKPハンドシェイクは、認証が完了する前に、固有かどうかにかかわらずパスワードのハッシュを送信します。

固有のパスワードは網羅的な解析の計算コストを高めますが、主要ベンダーが採用している検索空間の大きさであれば、最新のGPUハードウェアによってその差を埋められます。SB-327への対応は、共有されたデフォルト認証情報の問題を解消しましたが、認証前のハッシュ漏洩という問題は解消していません。

●侵害されたBMCは、ハッキングされたサーバーと同じ方法でクリーンアップできますか？

常にできるとは限りません。これがBMCの侵害を特に危険なものにしている理由です。BMCへのアクセス権を持つ攻撃者がファームウェアを悪意のあるバージョンへ書き換えた場合、その不正な仕組みはOSの再インストールやディスク交換、標準的なフォレンジック手順を実施した後も残る可能性があります。2020年以降の攻撃で確認されたiLOBleedルートキットが、まさにこれを実証しています。

復旧には、信頼できる提供元から入手した検証済みファームウェアへの再書き込みが必要となり、最悪の場合には物理ハードウェアの交換が必要です。一般的なエンドポイントセキュリティツール、侵入検知システム、ウイルス対策製品では、侵害されたBMCを検査したり修復したりできません。

●なぜ毎日60台もの新しいサーバーがIPMIを露出した状態でインターネット上に現れているのですか？

Lavaが観測した継続的な増加は、進行中のプロビジョニング作業におけるエラー、サーバー設定時の構成ミス、管理ネットワークが誤って、または管理者が気付かないままパブリックインターネットへ接続されていることを反映している可能性があります。

管理ポートであるUDP 623は内部専用のインターフェースと考えられているため、標準的なファイアウォールルールのレビュー対象に含まれないことがあります。コロケーションやクラウド環境では、BMCネットワークを分離する責任が事業者と顧客の間で曖昧になり、双方が相手側で対応済みだと考える場合もあります。

元記事: Factory Passwords Crack in Seconds: 24,650 Data Center BMCs Leak Auth Hashes