La superficie da difendere non è il sistema operativo, ma il piano di management fuori banda. Se un BMC espone l’hash prima del login, la password si può forzare offline e la difesa normale non vede né i tentativi né il superamento del confine reale: power, console, virtual media e firmware.
Lava ha contato 36.872 BMC raggiungibili da internet. Di queste, 24.650 restituivano materiale HMAC-SHA1 pre-auth legato a CVE-2013-4786, e una quota ampia risultava recuperabile con wordlist comuni o password di fabbrica; il quadro includeva sistemi Supermicro, HPE e Dell, con vari casi ancora su credenziali di default.
Il punto critico è che la falla è nella specifica IPMI 2.0, quindi non esiste una patch pulita a livello di standard. Per gli ambienti con BMC esposti, il rischio resta quello di un takeover del server anche senza toccare l’OS.