Uma falha de conceção com mais de uma década continua a expor dezenas de milhares de servidores em todo o mundo, permitindo que qualquer atacante remoto obtenha, sem autenticação, os hashes das palavras-passe das contas de administração de controladores de gestão de servidores (BMC). O problema está identificado como CVE-2013-4786 e reside no próprio desenho do protocolo IPMI 2.0, o que significa que não existe correção do fabricante possível sem alterar a especificação. Segundo relatos recentes, mais de 24 mil interfaces de gestão continuam acessíveis a partir da Internet, permitindo a recolha silenciosa de credenciais que podem depois ser quebradas offline e usadas para tomar controlo total das máquinas.
Resposta rápida: O CVE-2013-4786 é uma falha no protocolo IPMI 2.0 que faz os BMC devolverem um hash HMAC-SHA1 da palavra-passe antes de verificarem quem está a pedir, permitindo a quebra offline das credenciais. Não há correção do fabricante porque o problema está na própria especificação. Desligue o IPMI-over-LAN se não o usar, retire estas interfaces da exposição pública e use palavras-passe longas e únicas.
O que é um BMC e porque é tão sensível
Um BMC (Baseboard Management Controller) é um microcontrolador dedicado, montado na motherboard do servidor, com o seu próprio processador, memória, placa de rede e sistema operativo — normalmente um pequeno Linux. É este componente que permite aos administradores gerir os servidores fora de banda, ou seja, de forma totalmente independente do sistema operativo principal da máquina.
Os administradores podem aceder aos BMC remotamente através da Intelligent Platform Management Interface (IPMI) ou do Redfish, uma API RESTful padronizada, para realizar tarefas de manutenção e diagnóstico, incluindo reinstalar sistemas operativos, reiniciar servidores e implementar atualizações de firmware. Este nível de controlo é precisamente o que torna o BMC um alvo tão apetecível: quem o domina domina a máquina inteira, incluindo a capacidade de ligar, desligar, montar suportes virtuais ou reinstalar o sistema.
O IPMI encontra-se integrado na maioria do hardware de servidores empresariais — soluções como Dell iDRAC, HP iLO, IBM IMM e Supermicro IPMI/BMC. O protocolo escuta na porta UDP 623 e fornece controlo total do anfitrião independentemente do sistema operativo: ligar/desligar, KVM virtual e suporte virtual (montar uma ISO e arrancar a partir dela).
A falha: um hash entregue antes de verificar a identidade
O problema está no mecanismo de autenticação RAKP (Remote Authenticated Key-Exchange Protocol), parte integrante da especificação IPMI 2.0. A especificação IPMI 2.0 suporta a autenticação RAKP, o que permite a atacantes remotos obter hashes de palavras-passe e conduzir ataques de adivinhação offline ao obter o HMAC de uma resposta RAKP message 2 de um BMC.
A raiz do problema é simples de descrever: o protocolo RAKP troca um hash da palavra-passe do utilizador como parte do handshake de autenticação, mas envia esse hash antes de verificar que o cliente que faz o pedido conhece a palavra-passe — tornando o hash disponível a qualquer cliente capaz de enviar mensagens RAKP bem formadas. Por outras palavras, o servidor entrega material sensível a quem o pede, mesmo sem provar quem é.
Os hashes devolvidos são HMAC-SHA1 calculados sobre um desafio aleatório. No Hashcat, o modo 7300 corresponde ao IPMI 2.0 RAKP HMAC-SHA1, e a taxa de quebra é rápida — hardware típico consegue centenas de milhões de tentativas por segundo neste modo, pelo que a maioria das palavras-passe curtas ou por omissão caem em minutos. O ataque tem, além disso, uma vantagem operacional preocupante para quem defende: é silencioso e o processo, na maioria dos sistemas, não gera alertas nem registos.
Uma falha antiga que não tem correção
A grande particularidade deste caso é que não se trata de um bug de implementação de um fabricante específico, mas sim de uma limitação da própria norma. Por isso, os avisos dos vários fornecedores são consistentes e categóricos. Não existe correção para esta vulnerabilidade; é um problema inerente à especificação do IPMI v2.0. A Dell, por exemplo, recomenda desativar o IPMI-over-LAN, o que pode ser feito através da interface web do iDRAC ou do comando RACADM.
A falha foi originalmente investigada por Dan Farmer, ao abrigo de uma bolsa de investigação, com verificação da dimensão do problema feita por HD Moore. Numa varredura à escala da Internet, foram encontrados 308 mil BMC com IPMI ativo, dos quais 113 mil suportavam a versão 2.0 vulnerável a exposição de hashes de palavras-passe, contornos de autenticação ou palavras-passe por omissão. Mais de uma década depois, o problema mantém-se ativo porque a norma continua a ser implementada em hardware novo e antigo — e porque muitas organizações deixam estas interfaces expostas.
Da recolha do hash ao controlo total
O perigo não é meramente teórico. Uma vez quebrado o hash de uma conta de administração do BMC, o atacante tem à disposição toda a funcionalidade do controlador. Se o atacante quebrar uma palavra-passe de administração, pode reiniciar o servidor, alterar definições da BIOS ou instalar firmware malicioso.
O risco é agravado pela posição privilegiada do BMC. Devido à posição privilegiada que os BMC têm sobre o sistema operativo anfitrião, os atacantes podem explorar estas falhas para implantar rootkits e implantes de malware altamente persistentes, reinfetando o sistema mesmo depois de ter sido completamente apagado e restaurado. Este tipo de persistência torna a recuperação extraordinariamente difícil e coloca o problema num plano de espionagem de longo prazo.
Um fator que amplia o impacto é a reutilização de credenciais. Como já alertava HD Moore na altura da descoberta, dado que as palavras-passe são frequentemente partilhadas entre dispositivos e serviços, quebrar a palavra-passe de um BMC dá muitas vezes acesso a bastante mais. A cadeia de ataque típica — expor IPMI na Internet, quebrar o hash RAKP, obter administração do BMC, usar suporte virtual e comprometer o resto da rede — é apontada como um dos caminhos historicamente mais fiáveis contra centros de dados.
Ficha técnica e cronologia
| Elemento | Detalhe |
|---|---|
| Identificador | CVE-2013-4786 |
| Componente | Protocolo IPMI 2.0 (autenticação RAKP) |
| Tipo | Divulgação de informação (hash de palavra-passe HMAC-SHA1) |
| Porta | UDP 623 |
| Autenticação necessária | Nenhuma (pré-autenticação) |
| Correção do fabricante | Inexistente — falha na especificação |
| Momento | Acontecimento |
|---|---|
| 2013 | Falha publicada; investigação de Dan Farmer e varredura de HD Moore identificam milhares de BMC vulneráveis |
| Ao longo dos anos | Vários fabricantes (Dell, HPE, IBM/Lenovo, Supermicro, NetApp, A10) publicam avisos: sem correção, apenas mitigações |
| Atualidade | Relatos recentes apontam para mais de 24 mil interfaces ainda expostas na Internet |
O que fazer: mitigações concretas
Como não há correção, a defesa assenta em reduzir a superfície de exposição e dificultar a quebra dos hashes. As recomendações convergentes dos fabricantes e investigadores incluem:
- Desativar o IPMI-over-LAN se não for necessário.
- Garantir que todas as interfaces de gestão remota de servidores (por exemplo, Redfish e IPMI) e subsistemas BMC não estão expostos externamente e que o acesso interno está restringido a utilizadores administrativos com ACLs ou firewalls.
- Usar palavras-passe fortes para limitar o sucesso de ataques de dicionário offline. Recomenda-se, no mínimo, 16 caracteres com maiúsculas, minúsculas, números e símbolos.
- Colocar as interfaces de gestão em redes isoladas ou VLAN dedicadas, sem qualquer rota para a Internet.
- Monitorizar registos em busca de comportamentos inesperados, como a criação de novas contas.
Porque é que isto importa em Portugal
Servidores com BMC expostos existem em muitos contextos nacionais: fornecedores de alojamento, centros de dados, universidades, hospitais, autarquias e PME com infraestrutura própria. Uma interface IPMI acessível a partir da Internet é uma porta de entrada silenciosa para comprometimento total de um servidor, com potencial de persistência que resiste a reinstalações — um cenário de elevado risco para a continuidade de operações e para a proteção de dados.
No plano regulatório, este tipo de exposição liga-se diretamente ao novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que reforça as obrigações de gestão de riscos, higiene técnica e notificação de incidentes para entidades essenciais e importantes. O CNCS e o CERT.PT recomendam de forma sistemática a redução da exposição de interfaces de gestão e a segmentação de rede. Caso a exploração desta falha leve ao acesso indevido a dados pessoais, aplicam-se também as obrigações do RGPD, incluindo a eventual notificação à CNPD e aos titulares afetados.
Perguntas frequentes
O CVE-2013-4786 vai receber um patch?
Não. Trata-se de uma falha na própria especificação do protocolo IPMI 2.0 e não de um erro de um fabricante, pelo que não existe correção. A proteção passa por mitigações, como desativar o IPMI-over-LAN e não expor a interface à Internet.
O atacante precisa de credenciais para explorar a falha?
Não. A falha é explorável sem autenticação: o BMC devolve o hash HMAC-SHA1 da palavra-passe a qualquer cliente que envie mensagens RAKP válidas, permitindo depois a quebra offline com ferramentas como Hashcat ou John the Ripper.
Uma palavra-passe forte resolve o problema?
Ajuda, mas não elimina o risco. Palavras-passe longas e únicas tornam a quebra offline muito mais difícil, mas a exposição do hash mantém-se. A medida mais eficaz é retirar a interface de gestão da exposição pública e isolá-la em rede dedicada.
Como saber se os meus servidores estão afetados?
Ferramentas de análise de vulnerabilidades, como o Nessus, sinalizam esta falha como IPMI v2.0 Password Hash Disclosure quando detetam suporte a IPMI 2.0. Verifique se a porta UDP 623 está acessível a partir do exterior e reveja as definições dos controladores (iDRAC, iLO, IMM, Supermicro).
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por avisos de fabricantes (Dell, HPE, IBM/Lenovo, A10), pela Tenable e por investigadores de segurança, relativos ao CVE-2013-4786.