ine Schwachstelle in der Server-Fernwartung sorgt 2026 erneut für Aufmerksamkeit in der IT-Branche. Sicherheitsforscher haben tausende Systeme gefunden, die trotz einer seit Jahren bekannten IPMI-Sicherheitslücke weiterhin angreifbar sein können, die monrose.de berichtet mit heise.de.
Die Ursache liegt in einer fast 20 Jahre alten Technologie, die in vielen Servern für die Hardwareverwaltung eingesetzt wird. Besonders problematisch ist, dass betroffene Systeme teilweise unbeabsichtigt über das Internet erreichbar sind.
Die Analyse zeigt: Nicht nur ältere Geräte sind betroffen. Auch moderne Serverplattformen können gefährdet sein, wenn die Fernwartung falsch konfiguriert wurde oder weiterhin Standardzugänge verwendet werden.
Alte IPMI-Schwachstelle betrifft weiterhin moderne Server
Die aktuelle Untersuchung von IT-Sicherheitsforschern zeigt eine ungewöhnliche Situation: Eine seit 2004 bekannte Technologie verursacht auch heute noch Sicherheitsprobleme. Im Mittelpunkt steht das IPMI-Protokoll (Intelligent Platform Management Interface), das Administratoren zur Fernverwaltung von Serverhardware nutzen.
IPMI ermöglicht den Zugriff auf den sogenannten Baseboard Management Controller (BMC). Dieser spezielle Controller arbeitet unabhängig vom Betriebssystem direkt auf der Server-Hardware.
Dadurch können Administratoren unter anderem:
- Server aus der Ferne einschalten oder neu starten;
- Hardwarezustände überwachen;
- Firmware verwalten;
- Fehler analysieren, ohne vor Ort zu sein.
Gerade diese Unabhängigkeit macht BMC-Systeme attraktiv für Rechenzentren. Gleichzeitig entsteht ein erhebliches Risiko, wenn die Verwaltungsoberfläche nicht ausreichend geschützt ist.
Eine Fernwartungsschnittstelle ist praktisch für Administratoren, kann aber bei falscher Konfiguration zu einem direkten Einstiegspunkt für Angreifer werden.
24.650 Systeme liefern angreifbare Zugangsdaten
Die Sicherheitsforscher von Lava HQ untersuchten die weltweite Verbreitung der Schwachstelle und fanden insgesamt 36.872 öffentlich erreichbare Server-Management-Schnittstellen.
Davon gaben 24.650 Systeme Informationen zurück, mit denen sich Passwort-Hashes ableiten lassen. Diese Daten können anschließend offline analysiert und teilweise geknackt werden.
Die Schwachstelle ist unter der Bezeichnung CVE-2013-4786 bekannt und betrifft die Authentifizierung im IPMI-2.0-Protokoll. Die Sicherheitsbewertung liegt bei CVSS 7.5 und wird als hohes Risiko eingestuft.
| Bereich | Ergebnis der Untersuchung |
|---|---|
| Gefundene Management-Schnittstellen | 36.872 Systeme |
| Systeme mit zurückgegebenen Hashes | 24.650 Server |
| Betroffene Technologie | IPMI 2.0 |
| Bekannte Schwachstelle | CVE-2013-4786 |
| Risiko-Einstufung | Hoch |
Nach Angaben der Forscher konnten etwa 30 Prozent der gefundenen Hashes mit einfachen Wortlisten oder vorhersehbaren Standardpasswörtern verbunden werden.
„Viele Probleme entstehen nicht nur durch alte Software, sondern durch unveränderte Zugangsdaten und falsch konfigurierte Verwaltungszugänge.“
Warum BMC-Zugänge oft ungewollt im Internet landen
Ein besonders kritischer Punkt ist die unbeabsichtigte Freigabe der Management-Schnittstellen. Normalerweise besitzt ein Server für die Fernverwaltung einen eigenen Netzwerkanschluss, der beispielsweise mit einem separaten Verwaltungsnetz verbunden wird.
Viele Mainboards verfügen jedoch über eine automatische Ausweichfunktion. Wenn der spezielle Verwaltungsport nicht genutzt wird, kann sich der BMC-Controller über andere Netzwerkanschlüsse melden.
Dabei verwendet das System eine eigene MAC-Adresse und kann über DHCP automatisch eine eigene IP-Adresse erhalten.
Für Administratoren entsteht dadurch ein Problem: Ein Server, der eigentlich nur intern verwaltet werden sollte, kann plötzlich von außen erreichbar sein.
Typische Ursachen für solche Freigaben sind:
- automatische BIOS- oder Firmware-Standardeinstellungen;
- wieder aktivierte Funktionen nach Updates;
- fehlende Netzwerksegmentierung;
- unveränderte Herstellerpasswörter;
- direkte Internetverbindungen ohne Schutzschicht.
Besonders gefährlich sind Kombinationen aus öffentlich erreichbarem BMC und Standardzugängen wie „admin/admin“. Solche Konfigurationen wurden bereits vor Jahren als Sicherheitsrisiko beschrieben.
Welche Server besonders betroffen sein können
Die Untersuchung betrifft nicht nur alte Hardware. Auch aktuelle Systeme verschiedener Hersteller können gefährdet sein, wenn die Verwaltungsschnittstelle offen erreichbar ist.
Dazu gehören unter anderem Server, die in Rechenzentren oder für leistungsintensive Anwendungen eingesetzt werden.
Betroffen sein können beispielsweise:
- Systeme mit HPE iLO-Fernverwaltung;
- moderne Supermicro-Server;
- Server für GPU-Rechenleistungen;
- ältere Geräte mit unveränderten Zugangsdaten.
Die Forscher fanden außerdem Hinweise darauf, dass einige erreichbare Systeme bereits kompromittiert wurden. In einem Fall zeigte ein HPE iLO-4-System eine Ransomware-Nachricht.
Maßnahmen gegen die Server-Fernwartung Sicherheitslücke
Administratoren sollten ihre Infrastruktur überprüfen und die BMC-Zugänge nicht wie normale Benutzeroberflächen behandeln. Eine Trennung vom öffentlichen Internet gehört zu den wichtigsten Schutzmaßnahmen.
Empfohlene Schritte:
- BMC-Schnittstellen im Netzwerk prüfen
Alle Verwaltungsports und IP-Adressen sollten kontrolliert werden. - Standardpasswörter sofort ändern
Herstellerzugänge dürfen nicht weiter verwendet werden. - Veraltete Sicherheitsoptionen deaktivieren
Dazu gehören unter anderem Cipher Suite 0, anonyme Konten und unsichere Authentifizierungsverfahren. - Zugriff beschränken
BMC sollte ausschließlich über interne Verwaltungsnetze oder VPN-Verbindungen erreichbar sein. - Netzwerk überwachen
Verwaltungsbereiche sollten getrennt von produktiven Systemen kontrolliert werden.
Eine zusätzliche Schutzmaßnahme ist die Blockierung des UDP-Ports 623 an der Netzwerkgrenze. Dieser Port wird häufig für IPMI-Kommunikation genutzt.
Die größte Gefahr entsteht nicht durch die Existenz der Fernwartung selbst, sondern durch offene Zugänge ohne moderne Sicherheitskontrollen.
Was Unternehmen bei betroffenen Servern beachten müssen
Wenn ein BMC-System öffentlich erreichbar war, reicht eine einfache Passwortänderung nicht immer aus. Sicherheitsexperten empfehlen, solche Systeme als potenziell kompromittiert zu behandeln.
Das bedeutet:
- Logs auf verdächtige Aktivitäten prüfen;
- Zugriffe analysieren;
- Firmwarestände kontrollieren;
- Systeme gegebenenfalls vollständig neu aufsetzen.
Gerade in Rechenzentren können manipulierte Management-Controller ein erhebliches Risiko darstellen, weil sie unabhängig vom eigentlichen Betriebssystem arbeiten.
„Ein kompromittierter BMC-Zugang kann weitreichende Folgen haben, weil Angreifer bereits unterhalb der Betriebssystemebene Kontrolle erhalten können.“
FAQ zur IPMI- und BMC-Sicherheitslücke
Was ist IPMI?
IPMI ist ein Protokoll zur Fernverwaltung von Serverhardware. Administratoren können damit Geräte überwachen und steuern, auch wenn das Betriebssystem nicht aktiv ist.
Warum ist die alte Sicherheitslücke noch gefährlich?
Viele Systeme nutzen weiterhin ältere IPMI-Versionen oder wurden nicht korrekt abgesichert. Dadurch bleiben bekannte Angriffsmöglichkeiten bestehen.
Sind nur alte Server betroffen?
Nein. Auch moderne Server können gefährdet sein, wenn BMC-Zugänge offen im Internet stehen oder unsichere Einstellungen verwenden.
Was sollten Administratoren zuerst prüfen?
Zuerst sollten Unternehmen kontrollieren, welche BMC-Schnittstellen erreichbar sind, ob Standardpasswörter genutzt werden und ob die Verwaltungsnetze ausreichend getrennt sind.
Muss ein erreichbarer Server neu installiert werden?
Wenn ein BMC-System ungeschützt im Internet erreichbar war, empfehlen Experten eine gründliche Sicherheitsprüfung. Bei Anzeichen einer Kompromittierung kann eine Neuinstallation notwendig sein.
Warum alte Sicherheitsprobleme weiterhin ernst genommen werden müssen
Die aktuelle Analyse zeigt, dass bekannte Schwachstellen nicht automatisch verschwinden, nur weil neue Technologien eingesetzt werden. Besonders bei Serverhardware bleiben alte Verwaltungsfunktionen oft jahrelang aktiv.
Unternehmen sollten ihre BMC- und IPMI-Konfigurationen regelmäßig überprüfen, Zugänge vom Internet trennen und moderne Sicherheitsstandards nutzen. Eine sorgfältig abgesicherte Fernwartung bleibt ein wichtiges Werkzeug für Rechenzentren, darf aber nicht zu einem unkontrollierten Zugangspunkt werden.