Dünyanın en büyük üreticileri tarafından satılan binlerce internet bağlantılı sunucunun, anakart derinliklerinde yer alan Baseboard Management Controller (BMC) birimlerindeki kritik güvenlik açıkları nedeniyle uzaktan erişime ve arka kapı kurulumuna açık olduğu belirlendi. Las Vegas'taki Black Hat güvenlik konferansında sunulan araştırma, bazı açıkların on yılı aşkın bir süredir devam ettiğini ortaya koydu.

Dev Üreticiler Risk Altında

Güvenlik uzmanı HD Moore tarafından yürütülen çalışma; HPE, Supermicro, Avocent, Huawei, Lenovo ve Dell gibi sektör devlerinin sattığı BMC birimlerinde bir düzineden fazla yeni açık tespit edildi. Moore, 2013 yılında uyarılan bazı zafiyetlerin, düzeltme girişimlerine rağmen hala aktif olduğunu bildirdi.

Binlerce Cihaz İnternete Açık ve Savunmasız

Gerçekleştirilen geniş kapsamlı taramalar, internete açık 86 binin üzerinde BMC tespit etti ve bu cihazların yüzde 54'ünden fazlasının kritik açıklara sahip olduğu belirlendi. Özellikle CVE-2013-4786 kodlu açık nedeniyle yaklaşık 75 bin cihazın, yönetici şifrelerinin çevrimdışı olarak kırılmasına izin veren IPMI 2.0 protokolü zafiyetini taşıdığı saptandı. Kurumsal ağlar içinde yapılan bir diğer taramada ise 126 bin 761 cihazın yaklaşık yüzde 29'unda kritik açıklar bulundu.

Kimlik Doğrulama Sistemlerindeki Bozulmalar

Tespit edilen hatalar arasında özellikle IPMI kimlik doğrulama el sıkışma süreçlerindeki kusurlar öne çıkıyor. Saldırganların, mesaj değişim sekanslarını değiştirerek kimlik doğrulama gereksinimlerini baypas edebildiği ve bu sayede BMC sistemine sızabildiği açıklandı.

Ne anlama geliyor?

Sunucu donanımlarında bulunan bu yardımcı işlemciler, ana sistem kapalıyken bile donanımın izlenmesini, yeniden başlatılmasını ve işletim sistemi güncellemelerinin yapılmasını sağlayan bağımsız yapı taşlarıdır. Kendi işletim sistemleri ve ağ bağlantıları olduğu için ana işlemciden bağımsız çalışırlar. Bu durum, onlara erişen bir saldırganın ana sunucu üzerinde tam kontrol sağlamasına ve sistem kapanıp açılsa bile kalıcılık elde etmesine olanak tanır.

Sektörel açıdan bu durum, ağ güvenliğinin sadece yazılımsal katmanlarda değil, donanım seviyesindeki düşük seviyeli yazılımlarda da sağlanması gerektiğini gösterir. Kimlik doğrulama protokollerindeki zafiyetler, şifrelerin ele geçirilmesi veya güvenlik duvarlarının aşılmasıyla sonuçlandığında, veri merkezlerindeki tüm fiziksel altyapı dış müdahalelere açık hale gelir. Bu tür donanımsal arka kapılar, geleneksel güvenlik yazılımları tarafından tespit edilmesi en zor tehditler arasında yer alır.