Radar Tech: backdoors em BMC/IPMI ameaçam servidores; como decidir o hardening em um ADR
Pesquisa de 2026 mostra ~29% de BMCs com vulnerabilidades críticas e dezenas de milhares ainda expostos ao CVE-2013-4786. Veja as 7 classes de risco e como registrar a decisão de arquitetura para blindar o gerenciamento out-of-band.
Um alerta de segurança voltou a colocar o gerenciamento out-of-band dos servidores no centro das atenções: pesquisadores mostraram que dezenas de milhares de servidores conectados à internet podem ser backdooreados explorando vulnerabilidades — algumas com mais de uma década — escondidas nos controladores embarcados nas placas-mãe, os BMCs (Baseboard Management Controllers).
Os BMCs são microssistemas completos que rodam firmware, rede e endereço IP próprios, operando mesmo quando o servidor principal está desligado ou travado — é por isso que se chama gerenciamento out-of-band ou lights-out. Eles são o sonho do administrador de datacenter e, ao mesmo tempo, uma superfície de ataque paralela que a prática mostra ser persistentemente submonitorada e subempatchada.
O que a pesquisa de 2026 revelou
A varredura interna de 126.761 BMCs encontrou que cerca de 29% tinham uma ou mais vulnerabilidades críticas e que aproximadamente 75.000 equipamentos ainda estavam expostos ao CVE-2013-4786 — a falha no protocolo de autenticação IPMI 2.0 que permite quebrar senhas de contas administrativas offline. Além disso, foram catalogadas mais de uma dezena de novas fraquezas em BMCs da HPE (iLO), Supermicro, Avocent, Huawei, Lenovo e Dell.
Os vetores não param em credencial e senha padrão. O estudo mapeia sete classes de risco:
- credenciais padrão ou factory-random recuperáveis por forcing offline;
- tráfego IPMI sem integridade/criptografia de sessão;
- identificadores de sessão previsíveis (gerados por contador ou relógio);
- bypass de autenticação e escalonamento de privilégio encadeáveis até uma sessão de administrador completa;
- segredos extraídos do firmware usados como credenciais vivas;
- canais host-side (como o KCS) que deixam um host comprometido controlar o BMC;
- firmware largamente desatualizado, como no caso do ILObleed, que persistia mesmo após reinstalar SO e trocar discos — o patch já existia havia quatro anos e simplesmente não tinha sido instalado.
O que isso significa em termos de arquitetura
A boa notícia é que a maioria desses vetores é desarmável com decisões arquiteturais bem documentadas — é exatamente aí que entram os ADRs (Architecture Decision Records). Em vez de mitigação pontual e reativa, o caminho sólido é registrar uma decisão de arquitetura por vez: criar uma VLAN de gerência dedicada e isolada com ACL permitindo apenas um bastion autenticado por MFA, rotacionar todas as credenciais de BMC para senhas longas e únicas armazenadas em cofre, desabilitar IPMI e KCS onde o negócio não precisar, e estabelecer um baseline de firmware com janela de manutenção e sequência de rollback conhecida.
Uma ferramenta como o OOBscan (aberto, do mesmo pesquisador) permite varrer a frota e medir o progresso; o critério de done vira algo objetivo, como '100% dos BMCs na VLAN de gerência', 'zero hosts com IPMI ou KCS ativos' e 'nenhum achado crítico no scan'.
Resumo do dia
- BMCs: superfície under-patched, com ~29% de hosts críticos e dezenas de milhares ainda no CVE-2013-4786.
- 7 classes de risco de credencial a firmware; várias são encadeáveis.
- Defesa arquitetural: VLAN de gerência isolada + bastion, credencial no cofre, desligar IPMI/KCS e baseline de firmware.
- Medição: usar scan (OOBscan) e critérios objetivos de conclusão.
Se a sua infraestrutura ainda conversa com BMCs via IPMI em VLAN compartilhada com dados, ou usa senha padrão, hoje é um bom dia para começar um ADR de hardening. A decisão certa, registrada e revisada, desmonta a maior parte do problema antes que ele vire incidente.
