インターネット公開のサーバー管理コントローラー2.4万台に脆弱性、ログイン前にパスワードハッシュを漏洩
要点
- 外部公開されたサーバー管理デバイス「BMC」のうち、2万4,650台でログイン前にパスワードハッシュが漏洩する恐れがあることが判明した。
- 標準プロトコル「IPMI v2.0」仕様の設計上の脆弱性が原因であり、根本的な修正パッチは提供されていない。
- 漏洩したハッシュの30%以上は、一般的なワードリストや予測可能な初期設定を用いて、オフラインで容易に解析可能とされる。
- OSから独立して動作するBMCの侵害はOS再インストール後も持続するため、共有型のAIデータセンター等で重大なリスクとなる。
- 2026年5月時点の調査では、世界で約3.6万件の公開サービスが検出され、うち米国が1.4万件以上と最多である。
インターネットに直接公開されているサーバーの遠隔管理システムにおいて、極めて深刻なセキュリティ上の欠陥が放置されている。イスラエルのセキュリティ企業Lavaが公開した最新の調査結果によると、世界で稼働する3万6,872台の「BMC（ベースボード管理コントローラー）」のうち、約2万4,650台がログイン前の段階でパスワードハッシュ（暗号化されたパスワード情報）を外部へ漏洩させているという。この問題は、標準プロトコル「IPMI v2.0」の仕様そのものに起因する設計上の欠陥であり、根本的な修正パッチが存在しないため、多くのシステムが危険な状態にさらされている。
サーバー管理を担うBMCとIPMIの役割
「BMC（ベースボード管理コントローラー）」は、サーバーのマザーボード上に搭載され、電源管理やOSインストールなどを実行する独立した管理用プロセッサである。これと遠隔通信するために使われる標準プロトコルが「IPMI（インテリジェント・プラットフォーム・マネージメント・インターフェース）」だ。
今回の問題の根底にあるのは、2024年2月に導入された「IPMI v2.0」仕様の設計自体に潜む、20年前から知られている脆弱性「CVE-2013-4786」（CVSSスコア7.5、重要度「高」）である。Dellが公開したアドバイザリでも「仕様固有の問題」とされ、メーカー側による修正用の製品パッチは提供されていない。
ログイン前の情報漏洩とオフライン解析の手法
研究者のMichael Katchinskiy氏によると、この脆弱性は認証プロセスの仕様の欠陥を突くものだ。
UDPポート623で公開されているIPMIサービスに対し、未認証の第三者がリクエストを送ると、BMCはパスワードとセッション値から算出した「HMAC-SHA1」認証コードを返す。攻撃者はこのハッシュ値を収集し、自身のローカル環境でオフラインでの総当たり攻撃（クラッキング）が行える。オンラインと異なり試行ごとにBMCへ再アクセス不要なため、アカウントロックなどの制限を受けずに容易にパスワードを解読できる。
さらに多くのサーバーで基本的なセキュリティ設定が怠られており、ハッシュ値の30%以上が、一般的なワードリストや工場出荷時の予測可能なパスワード形式を用いて容易に復元できる状態にあった。影響はGPUプロバイダーなどが運用するSupermicroやHPE製の最新サーバーにも及んでおり、初期設定のまま変更されていないシステムも散見されたという。
独立動作の仕組みがもたらす脅威とAIデータセンターの盲点
BMCが侵害された場合の脅威は、一般的なOS層のハッキングよりも深刻である。BMCは「アウトオブバンド（帯域外）管理」と呼ばれる仕組みに基づいてホストOSから完全に独立して動作しているためだ。
過去にセキュリティ企業Eclypsiumが警告したように、BMCは極めて強力な権限を持っている。そのため、一度BMCが掌握されると、OS上のセキュリティ対策ソフトを完全に迂回されるだけでなく、OSの再インストールや初期化を実行しても攻撃コードや不正アクセス権が残り続けることになる。
Lavaは、急成長を遂げるAI（人工知能）データセンターの環境において、この問題が重大な盲点になっていると警告している。現代のAIデータセンターでは、同一の物理サーバーである「ベアメタル環境」上に複数のテナント（契約企業）のシステムを混在させてホストすることが一般的である。インターネットに露出したBMCが1台でも突破されれば、それを足がかりに同じデータセンター内の他の組織のシステムへと横展開（ラテラルムーブメント）され、複数の企業や組織のデータが同時にリスクにさらされる危険性がある。
世界規模での露出データと統計
Lavaの2026年5月時点の調査では、外部公開されたIPMIホストは世界で3万6,872件検出され、そのうち1万4,000件以上が米国に集中し、ドイツや中国がこれに続いた。
このうち2万4,650台がログイン前にハッシュデータを返しており、オフライン解読に対して無防備だった。さらに6,240件のBMCが「空のユーザー名」に対して弱いパスワードで一致するデータを返し、2,340件のBMCが「ADMIN」や「root」などの管理者アカウントに対して、既知のワードリストに含まれるパスワードで一致するデータを返した。