Bekannte Lücke, fehlende Patches
Eine Sicherheitslücke im IPMI-Protokoll (Intelligent Platform Management Interface) macht derzeit Schlagzeilen – obwohl sie bereits seit 2004 existiert und seit 2013 öffentlich bekannt ist. Sicherheitsforscher haben nun herausgefunden, dass mindestens 24.650 Server weltweit für diese Schwachstelle anfällig sind.
IPMI wird von Administratoren zur Remote-Verwaltung von Servern genutzt, um Systeme zu überwachen, zu starten oder neuzustarten – unabhängig davon, ob das Betriebssystem noch lädt. Die Verwaltungsschnittstelle läuft häufig auf separater Hardware und bietet damit Zugriff auf kritische Systeme.
Was macht die Lücke gefährlich?
Die identifizierte Schwachstelle ermöglicht es Angreifern, unter bestimmten Bedingungen auf IPMI-Schnittstellen zuzugreifen und diese zu missbrauchen. Die genauen technischen Details variieren je nach Implementierung und Hersteller – teilweise geht es um schwache Authentifizierung, in anderen Fällen um fehlende Verschlüsselung von Verwaltungskommunikation.
Für Angreifer besonders wertvoll: Ein Zugriff auf IPMI ermöglicht potenziell volle Kontrolle über Server – unabhängig vom Status des Betriebssystems oder installierten Sicherheitslösungen.
Das Update-Dilemma
Trotz jahrelanger Veröffentlichungen von Patches und Security Advisories haben viele Organisationen das Problem nicht behoben. Die Gründe sind typisch:
- Produktionssysteme: Firmware-Updates für IPMI-Controller erfordern oft Neustarts oder Wartungsfenster
- Komplexität: In großen Infrastrukturen mit hunderten Servern ist die Verwaltung aufwändig
- Unterschätzung: Die Bedrohung wird möglicherweise nicht als kritisch wahrgenommen
- Legacy-Hardware: Ältere Server erhalten möglicherweise gar keine Firmware-Updates mehr
Handlungsempfehlungen
Für IT-Administratoren sollte das Problem nun Priorität haben:
- Inventur: Überblick über vorhandene IPMI-Implementierungen verschaffen
- Patch-Management: Verfügbare Firmware-Updates prüfen und einfahren
- Netzwerk-Segmentierung: IPMI-Verkehr isolieren und auf notwendige Hosts beschränken
- Access Control: Zugriffe auf IPMI-Schnittstellen beschränken und überwachen
- Monitoring: Verdächtige Aktivitäten auf IPMI-Ports erkennen
Der Fall zeigt ein grundlegendes Problem: Auch bekannte, technisch gelöste Sicherheitsprobleme können jahrelang in produktiven Umgebungen bestehen bleiben, wenn die organisatorische Umsetzung zu aufwändig wirkt.