Decenas de miles de servidores tienen una contraseña en texto plano modificable que puede proporcionar acceso remoto a la interfaz administrativa del servidor.

El problema se encuentra dentro del controlador de gestión de la placa base (BMC) en la línea WPCM450 de chips incorporados a las tarjetas madre de la marca Super Micro, escibió Zachary Wikholm, ingeniero en jefe de seguridad para Cari.net, una compañía de servidores y cómputo en la nube.

Los controladores de gestión de la placa base son parte de la plataforma inteligente de administración de interfaces (IPMI), el cual recolecta información sobre el "estado de salud" del hardware y software. "Puedes literalmente descargar el archivo con la contraseña de BMC de cualquier UPnP tarjeta madre de Super Micro habilitada ejecutando IPMI en una interfaz pública", escibió Wikholm.

La contraseña en texto plano puede ser descargada al conectarse por el puerto 49152 de los servidores vulnerables, publicó Tony Carothers del SANS Internet Storm Center, el cual monitorea amenazas de seguridad emergentes. "Uno de nuestros equipos ha probado esta vulnerabilidad y funciona muy bien, así que vamos a echarle más leña al fuego y difundir la buena palabra", escribió Carothers el jueves.

Super Micro ya no usa más los chips WPCM450, escribió Wikholm. Pero un escaneo de la red empleando Shodan, un motor de búsqueda especializado para encontrar sistemas embebidos, indicó que 31,964 sistemas afectados están en línea.

Un análisis de las contraseñas disponibles para descarga muestra que miles de ellas son muy sencillas o son las que vienen por defecto:

"Es un poco escabroso revisar algunas de las estadísticas de contraseñas", escribió Wikholm. "3,296 de esas contraseñas son la contraseña por defecto. No quisiera proporcionar mucha información, sólo diré que un subconjunto de estos datos incluía o solamente era password".

Wikholm dijo que cuando reportó sobre el fallo a Super Micro, la compañía dijo que un fallo UPnP había sido parchado con la última versión del BIOS UPMI, pero aparentemente el sistema necesita ser "flasheado" para que se instale. "El flasheo no siempre es una posibilidad", escribió Wikholm.