世界最大手製品のマザーボードに潜む「見えない攻撃面」#
Black Hatセキュリティカンファレンスで発表された研究によると、世界の主要メーカーが販売するサーバーに搭載されたベースボード管理コントローラー（BMC）に多数の重大な脆弱性が存在し、インターネットに接続された数万台のサーバーがリモートからバックドアを仕掛けられるリスクにさらされていることが明らかになった。
BMCとは何か？なぜ危険なのか？#
BMC（Baseboard Management Controller）とは、エンタープライズサーバーのマザーボードに組み込まれた小型コンピューターだ。独自のOS、ネットワークスタック、IPアドレスを持ち、サーバー本体の電源がオフの状態や無応答の状態でも独立して動作する。管理者はBMCを使って、サーバーの物理的な状態の監視、再起動、アップデートのインストール、OSの再インストールなどを遠隔から実施できる。この「ライツアウト管理」「帯域外管理」と呼ばれる機能が、攻撃者にとっても非常に魅力的なターゲットとなっている。
セキュリティ企業runZeroのCEO兼創設者であるHD Moore氏は今回の研究で、HPE、Supermicro、Avocent、Huawei、Lenovo、Dellなど主要ベンダーのBMCに、12件以上の新たな脆弱性を発見した。さらに、2013年に同氏が警告した一部の弱点が、対策が取られたにもかかわらず現在も有効であることも確認された。
スキャン結果が示す驚異的な規模#
Moore氏が実施した2種類の大規模スキャンにより、問題の深刻さが数字として浮き彫りになった。
- 外部スキャン: インターネットに接続されたBMCを対象にしたスキャンでは、8万6,000台超のBMCが管理サービスを公開している状態だった。そのうち54%超に1件以上の重大な脆弱性が存在し、最大7万5,000台がIPMI 2.0認証プロトコルの脆弱性「CVE-2013-4786」（管理者レベルのパスワードをオフラインで解析できる）に対して脆弱なままだった。
- 内部スキャン: 企業ネットワーク内の12万6,761台のBMCを対象にしたスキャンでは、**約29%**に1件以上の重大な脆弱性が確認された。
発見された脆弱性クラス一覧#
Moore氏が発見した脆弱性は主に以下のカテゴリに分類される。
- IPMI認証ハンドシェイクの欠陥: メッセージ交換の順序を改ざんすることで認証をバイパス可能。HPE iLO、Supermicro、OpenBMC、H3C・NvidiaのOpenBMC派生製品が影響を受ける。
- セッション内の整合性・暗号化保護の不徹底: 暗号化されていないコマンドがセキュアなセッション上で受け入れられる。HPE、Supermicro、Intel（レガシー）が対象。
- 予測可能なセッション識別子: トークンがカウンターや時計から生成され、攻撃者による他ユーザーのセッション乗っ取りが可能。Supermicro製品で特に深刻。
- 認証前のメモリ破壊: 管理SSHサービスの長さ検証エラーにより、認証前に悪意あるコードを実行できる。HPE iLOで確認。
- 署名なしファームウェア・設定整合性の未強制: 認証済み管理者が持続的なインプラントを設置したり、ファームウェア検証キーを置き換えたりできる。Supermicro、H3C、Dellが対象。
- ファームウェアから回収可能な認証情報の使用: 公開ファームウェアから抽出した鍵を認証や通信復号に利用可能。Supermicro、OpenBMC、Huawei、Dellが対象。
- デフォルト・工場出荷時認証情報の脆弱性: CVE-2013-4786経由でハッシュが漏洩し、パスワードがクラック可能。HPE（8桁程度のデフォルト）、Supermicro、Dellが対象で、HPEが最も脆弱とされる。
実被害の実例：ILObleed#
BMC脆弱性の悪用は仮定の話ではない。2021年には「ILObleed」と呼ばれる悪意あるインプラントが発見されており、HPEサーバーのハードドライブに保存されたデータを破壊するワイパーファームウェアをインストールしていた。OSの再インストールやハードドライブの交換などの一般的な対処を行っても、ILObleedは生き残って攻撃を再開した。また、昨年（詳細は元記事を参照）にはCISAがAMI製BMCの重大脆弱性を既知の悪用済み脆弱性リストに追加している。
管理者が今すぐできる防衛策#
Moore氏はオープンソースツール「OOBscan」を公開しており、管理者はこれを使って自社サーバー群のBMC脆弱性を検出できる。それに加えて、以下の対策が推奨されている。
- 長くユニークなユーザー名と複雑なパスワードを設定する
- 可能な限りIPMIを無効化する
- 可能な限りKCSを無効化し、ホスト側からBMCへのアクセスをブロックする
- 各BMCのNICを個別に分離し、複数を共有VLANに配置しない
まとめ#
Moore氏が「広範かつ監視不足・パッチ未適用の並行攻撃面」と表現するBMCの問題は、2013年から指摘されているにもかかわらず改善が進んでいない深刻な状況だ。インターネット接続された8万6,000台超のうち54%超が重大な脆弱性を抱えているという事実は、エンタープライズセキュリティの根幹を揺るがす問題といえる。
筆者の見解: BMCはサーバー管理の要でありながら、通常のエンドポイントセキュリティの「外側」に存在するため、見過ごされがちな攻撃面だ。OOBscanのようなツールの活用と、今回示された具体的な対策の実施を、企業のセキュリティ担当者は早急に検討すべきだと感じる。
出典: Thousands of servers can be backdoored by exploiting buggy motherboard controllers
