This post is also available in: Português
A CVE-2013-4786 é uma vulnerabilidade crítica do protocolo IPMI 2.0 (Intelligent Platform Management Interface) que, apesar de ter sido catalogada em 2013, continua representando um risco significativo para organizações em todo o mundo. Recentemente, ela voltou ao centro das atenções após pesquisadores identificarem milhares de interfaces de gerenciamento expostas à internet, permitindo que invasores obtenham hashes de senhas administrativas e realizem ataques de quebra de credenciais offline.
Com pontuação CVSS 7.5, a falha não depende da exploração de um erro de implementação específico de um fabricante. O problema está no próprio desenho do protocolo de autenticação utilizado pelo IPMI 2.0, tornando diversos equipamentos suscetíveis ao ataque. Como existe exploit público disponível, a exploração da vulnerabilidade torna-se ainda mais preocupante para ambientes que mantêm interfaces de gerenciamento remoto acessíveis externamente.
O que é o IPMI?
O Intelligent Platform Management Interface (IPMI) é um padrão criado para permitir o gerenciamento remoto de servidores físicos, independentemente do sistema operacional instalado ou até mesmo quando o equipamento está desligado, desde que esteja conectado à energia.
Por meio do IPMI, administradores conseguem realizar tarefas como:
- Monitoramento de hardware.
- Controle de temperatura e sensores.
- Reinicialização remota de servidores.
- Atualizações de firmware.
- Acesso ao console remoto.
- Gerenciamento de energia.
Essas funções são executadas por um componente chamado Baseboard Management Controller (BMC), um controlador dedicado presente na placa-mãe do servidor.
O grande problema é que o BMC possui privilégios extremamente elevados. Em muitos casos, ele oferece mais controle sobre o equipamento do que o próprio sistema operacional. Dessa forma, qualquer comprometimento dessa interface pode resultar no controle total do servidor.
O que é a CVE-2013-4786?
A CVE-2013-4786 descreve uma vulnerabilidade existente na autenticação RAKP (Remote Authenticated Key Exchange Protocol) utilizada pelo protocolo RMCP+, responsável pela autenticação no IPMI 2.0.
Durante o processo de autenticação, o protocolo envia informações suficientes para que um atacante remoto obtenha o HMAC da senha de um usuário configurado no BMC. Esse hash pode ser capturado sem que o invasor conheça previamente qualquer credencial válida. Após capturar o HMAC, o atacante realiza um processo totalmente offline de tentativa de senhas utilizando ferramentas específicas para quebra de hashes. Como todo esse processo ocorre fora do ambiente da vítima, não existem bloqueios de conta, limitação de tentativas ou mecanismos tradicionais capazes de impedir o ataque.
Em outras palavras, basta que a interface IPMI esteja acessível para que um invasor possa coletar os hashes e iniciar ataques de força bruta sem gerar tráfego adicional contra o equipamento.
Como funciona a exploração
O ataque é relativamente simples quando a interface IPMI está exposta. O invasor identifica um servidor com a porta do serviço aberta, em seguida, inicia o processo de autenticação utilizando o protocolo RAKP. Mesmo sem conhecer a senha, o BMC responde com uma mensagem contendo um HMAC derivado da senha do usuário. Esse HMAC é então armazenado pelo atacante.
Posteriormente, utilizando ferramentas de quebra de senha como Hashcat ou John the Ripper, o criminoso testa milhões de combinações até descobrir a senha correta. Como o processo acontece offline, a velocidade depende apenas da capacidade computacional do atacante. Se a senha for fraca, reutilizada ou previsível, ela poderá ser descoberta rapidamente.
Por que essa vulnerabilidade voltou a ser destaque?
Embora tenha sido divulgada há mais de uma década, a CVE-2013-4786 voltou ao radar da comunidade de segurança após pesquisadores identificarem, em 2026, dezenas de milhares de interfaces BMC expostas diretamente à internet.
O levantamento demonstrou que muitos servidores continuam utilizando IPMI 2.0 acessível publicamente, muitas vezes com senhas padrão, credenciais fracas ou sem qualquer proteção adicional.
Como o exploit da vulnerabilidade é público há vários anos, qualquer pessoa com conhecimento técnico pode automatizar a coleta de hashes e iniciar ataques de quebra de senha em larga escala.
Esse cenário transforma uma vulnerabilidade antiga em uma ameaça extremamente atual.
Produtos potencialmente afetados
A vulnerabilidade está relacionada ao protocolo IPMI 2.0 e não exclusivamente a um fabricante. Diversos fornecedores utilizaram ou ainda utilizam implementações compatíveis com esse padrão em seus equipamentos.
Entre os fabricantes que publicaram comunicados relacionados à vulnerabilidade estão: Oracle, NetApp, HPE, Dell Technologies, Red Hat.
Na prática, qualquer servidor equipado com um BMC compatível com IPMI 2.0 e que utilize autenticação RAKP pode estar sujeito ao comportamento descrito na CVE.
Por isso, a avaliação deve considerar o modelo do equipamento, a versão do firmware do BMC e as recomendações específicas do fabricante.
Quais são os impactos para as organizações?
Quando um invasor obtém acesso administrativo ao BMC, ele passa a controlar praticamente todos os recursos físicos do servidor.
Entre as consequências possíveis estão o desligamento remoto dos equipamentos, reinstalação do sistema operacional, alteração da sequência de boot, instalação de imagens maliciosas, acesso ao console remoto, roubo de informações confidenciais e persistência mesmo após formatação do sistema operacional.
Em ambientes corporativos, isso pode significar comprometimento de servidores críticos, movimentação lateral dentro da infraestrutura, interrupção de serviços e aumento do risco de ataques de ransomware.
Como o BMC funciona independentemente do sistema operacional, soluções tradicionais de proteção de endpoint muitas vezes não conseguem detectar esse tipo de comprometimento.
Existe correção?
A natureza da CVE-2013-4786 torna sua mitigação mais complexa.
Como a vulnerabilidade está ligada ao próprio protocolo de autenticação IPMI 2.0, muitos fabricantes não conseguiram eliminá-la apenas por meio de atualizações de firmware.
Alguns fornecedores disponibilizaram atualizações para reduzir riscos específicos ou implementaram mecanismos adicionais de proteção, enquanto outros recomendam medidas compensatórias, como restringir completamente o acesso ao serviço.
Por isso, é fundamental consultar a documentação oficial do fabricante do servidor para verificar a existência de atualizações, configurações de mitigação ou recomendações específicas.
Como reduzir os riscos
A principal recomendação é impedir que interfaces IPMI fiquem acessíveis diretamente pela internet.
Sempre que possível, o acesso ao BMC deve ocorrer exclusivamente por redes de gerenciamento segregadas ou por meio de VPNs.
Também é importante substituir imediatamente senhas padrão por credenciais longas, únicas e aleatórias, além de revisar periodicamente os usuários configurados no controlador de gerenciamento.
Outra medida essencial consiste em manter os firmwares do BMC atualizados conforme as orientações do fabricante, desabilitar serviços de gerenciamento remoto que não sejam necessários e monitorar continuamente exposições externas utilizando ferramentas de gerenciamento de superfície de ataque.
Organizações que possuem servidores antigos devem avaliar a substituição dos equipamentos ou a adoção de soluções de gerenciamento mais modernas, capazes de oferecer mecanismos de autenticação mais robustos.
This post is also available in: Português
