Milhares de servidores conectados à internet, fabricados pelas maiores empresas do setor, podem ser comprometidos remotamente por meio da exploração de vulnerabilidades críticas — algumas com mais de uma década de existência — escondidas nas placas-mãe dos equipamentos. A descoberta foi apresentada nesta quarta-feira por pesquisadores de segurança.
Os controladores de gerenciamento de placa-base, conhecidos pela sigla BMC, são verdadeiros computadores em miniatura embutidos nas placas-mãe de praticamente todos os servidores corporativos. Esses microcontroladores operam com sistema operacional próprio, pilha de rede dedicada e endereço de protocolo de internet (IP) independente. Administradores de rede utilizam esses dispositivos para monitorar o estado físico de grandes frotas de servidores e executar diversas tarefas, como reinicializar máquinas, instalar atualizações e até reinstalar sistemas operacionais completos.
Os BMCs oferecem o que se conhece como gerenciamento sem intervenção e fora de banda, pois continuam funcionando normalmente mesmo quando os servidores aos quais estão conectados estão desligados ou travados. Essa característica os torna especialmente valiosos para a administração, mas também extremamente atraentes para criminosos digitais.
Pesquisadores alertam desde pelo menos 2013 que esses dispositivos representam uma porta de entrada valiosa para hackers em busca de acesso profundo e persistente a data centers. O principal vilão dessa história é o protocolo IPMI, que permite aos controladores operarem de forma independente dos servidores e realizarem tarefas administrativas. Vulnerabilidades presentes nesse firmware possibilitam que atacantes executem códigos maliciosos remotamente nos próprios controladores e, a partir deles, infectem os servidores que gerenciam.
De acordo com os especialistas, essa superfície de ataque paralela é generalizada, pouco monitorada e raramente recebe atualizações de segurança, configurando um cenário preocupante para a infraestrutura de empresas em todo o mundo.
Fonte: Ars Technica
