BMC esposti da 13 anni e breach MCBS rivelano due punti ciechi delle infrastrutture

🛡️ Executive Summary

• Oltre 24.000 interfacce BMC esposte su Internet restituiscono materiale crittografico utilizzabile per violare offline le password.
• Il problema deriva da CVE-2013-4786, debolezza nota dal 2013 nel protocollo IPMI 2.0 introdotto più di vent’anni fa.
• MCBS conferma che il proprio data breach ha esposto dati personali e sanitari di 1.261.464 persone.

Due incidenti differenti mostrano quanto siano pericolosi i sistemi collocati fuori dal perimetro normalmente osservato dalle difese aziendali. Una ricerca di Lava ha individuato 36.872 interfacce IPMI raggiungibili da Internet, delle quali 24.650 esponevano hash derivati dalle password prima dell’autenticazione. Negli Stati Uniti, la società di fatturazione sanitaria Medical Computer Business Services ha invece comunicato che una violazione risalente al settembre 2025 ha coinvolto 1.261.464 persone, esponendo anche diagnosi, trattamenti e condizioni mediche. Nel primo caso il punto cieco è il controller che amministra fisicamente il server; nel secondo è il fornitore che aggrega i dati di più strutture sanitarie.

Una falla del 2013 espone migliaia di controller BMC

La vulnerabilità CVE-2013-4786 interessa il processo di autenticazione RAKP previsto da IPMI 2.0, protocollo introdotto nel 2004 per la gestione remota dei server. Un soggetto non autenticato che raggiunge la porta UDP 623 può richiedere al controller una risposta contenente un codice HMAC-SHA1 calcolato utilizzando la password dell’account e valori di sessione conosciuti dal richiedente. Il materiale ottenuto non rivela direttamente la password, ma permette di provare offline grandi quantità di combinazioni senza generare sul dispositivo una sequenza equivalente di accessi falliti. I ricercatori di Lava hanno rilevato 36.872 host IPMI esposti pubblicamente e hanno ottenuto almeno una risposta RAKP da 24.650 sistemi, pari al 66,9% del campione. Tra questi, 6.240 accettavano un nome utente vuoto associato a password deboli e 2.340 utilizzavano credenziali riconducibili a dizionari pubblici.

Il problema non è quindi una nuova zero-day, ma la sopravvivenza operativa di una debolezza nota da tredici anni all’interno di apparati ancora collegati direttamente a Internet. Una precedente vulnerabilità BMC nei server Intel e Lenovo aveva già mostrato come il livello di gestione hardware possa rimanere esposto molto più a lungo del sistema operativo che controlla.

Il controller controlla il server sotto il sistema operativo

Il Baseboard Management Controller è un processore indipendente installato sulla scheda madre e progettato per amministrare il server anche quando il sistema operativo è spento, bloccato o non raggiungibile. Attraverso interfacce come IPMI, Redfish, console web e virtual media, un amministratore può riavviare la macchina, modificare configurazioni, montare immagini, aggiornare il firmware e accedere alla console remota. Le stesse capacità diventano particolarmente pericolose quando vengono ottenute da un aggressore, perché il BMC opera al di fuori del perimetro monitorato da EDR, antivirus e controlli applicati al kernel o ai container.

Una compromissione può sopravvivere alla reinstallazione del sistema operativo e, nei casi più gravi, richiedere la riscrittura verificata del firmware o la sostituzione dell’hardware per ristabilire la fiducia. I controller condividono inoltre spesso credenziali e reti amministrative con altri apparati, consentendo a un singolo accesso di diventare un punto di movimento laterale nel piano di gestione del data center. Negli ambienti dedicati all’intelligenza artificiale, dove un server GPU può ospitare più workload o clienti, l’impatto può estendersi oltre la singola macchina e raggiungere risorse appartenenti a tenant differenti.

Le password uniche di fabbrica restano prevedibili

La ricerca mostra che anche una password diversa per ogni server può risultare vulnerabile quando viene generata seguendo un formato rigido. Molti sistemi Supermicro utilizzano il nome utente fisso ADMIN e una password di dieci lettere maiuscole stampata sull’etichetta dello chassis. Lo spazio teorico comprende circa 141.000 miliardi di combinazioni, ma la struttura conosciuta elimina simboli, lettere minuscole e numeri, rendendo praticabile un attacco mirato con hardware GPU. Lava stima che un sistema con otto GPU possa esaminare l’intero spazio in circa un’ora per ogni risposta catturata. Nei test condotti su due server Supermicro moderni appartenenti a un provider di GPU, i ricercatori sono riusciti a recuperare password compatibili con il formato di fabbrica senza utilizzarle per accedere ai dispositivi. Il test su un sistema HPE iLO, dotato di una password di otto caratteri formata da lettere maiuscole e numeri, ha richiesto circa un giorno su un Apple M3 e soltanto 32 secondi su una macchina con otto RTX 6000 PRO. Non è quindi la semplice unicità della credenziale a garantire sicurezza: una password predefinita, mai ruotata e generata secondo uno schema pubblico rimane esposta alla potenza crescente degli strumenti di cracking.

MCBS espone dati sanitari di oltre 1,26 milioni di persone

Il secondo caso interessa Medical Computer Business Services, società statunitense che gestisce fatturazione, codifica, crediti e attività amministrative per strutture sanitarie. MCBS ha comunicato che soggetti non autorizzati hanno avuto accesso alla propria rete tra il 22 e il 26 settembre 2025, mentre l’indagine sulla portata dell’incidente si è conclusa il 28 maggio 2026. La comunicazione inviata al Dipartimento della Salute statunitense quantifica in 1.261.464 le persone coinvolte. I dati potenzialmente esposti variano da individuo a individuo e comprendono nome completo, indirizzo, numero di previdenza sociale, data di nascita, identificativi assicurativi, numero della polizza, informazioni sulla storia clinica, condizioni fisiche e mentali, trattamenti e diagnosi. MCBS opera come aggregatore per più fornitori sanitari e ha indicato almeno sette entità coperte, tra cui South Georgia Radiology Consultants, SkinPath Solutions e Radiology Associates. La concentrazione dei dati presso un fornitore amministrativo aumenta il raggio dell’incidente: la compromissione di una sola azienda può coinvolgere pazienti appartenenti a strutture differenti e rendere difficile per l’interessato comprendere l’origine dell’esposizione. Il fenomeno era già emerso con il data breach della ASL Abruzzo e l’esposizione dei dati sanitari dei minori, dove la natura clinica delle informazioni rendeva impossibile una semplice sostituzione del dato compromesso.

PEAR rivendica 3,3 terabyte ma i dati non sono verificati

L’attacco contro MCBS è stato rivendicato dal gruppo PEAR, acronimo di Pure Extraction and Ransom, che sostiene di aver sottratto 3,3 terabyte di dati. Gli estorsori affermano di possedere, oltre alle informazioni dei pazienti riconosciute dalla società, documenti delle risorse umane, dati sulle operazioni aziendali, informazioni sui pagamenti, corrispondenza email e database interni. Il materiale sarebbe stato pubblicato integralmente online, ma BleepingComputer precisa di non averlo esaminato e di non poterne confermare autenticità, completezza o corrispondenza con le dichiarazioni criminali. La rivendicazione deve quindi essere mantenuta distinta dai fatti accertati: MCBS conferma l’accesso non autorizzato e l’esposizione potenziale delle categorie comunicate, mentre quantità e contenuti aggiuntivi restano affermazioni del gruppo. La società invita le persone interessate ad attivare un fraud alert e a valutare il blocco del proprio profilo creditizio. Per chi ha ricevuto cure in Georgia, l’assenza di un rapporto diretto con MCBS può complicare la verifica, rendendo necessario chiedere alla struttura sanitaria se utilizzasse i servizi del fornitore. Gli attacchi raccolti nell’analisi su sanità e finanza sotto assedio tra breach, blackout e leak mostrano come i fornitori indiretti siano diventati bersagli privilegiati proprio perché concentrano dati appartenenti a più organizzazioni.

BMC e società sanitarie concentrano fiducia invisibile

I due incidenti non condividono vettore, attore o tecnologia, ma rivelano lo stesso problema architetturale: i punti più sensibili spesso si trovano fuori dai sistemi sui quali si concentrano i controlli quotidiani. Il BMC è collocato sotto il sistema operativo e può controllarlo senza essere osservato dagli strumenti installati sull’host. MCBS opera invece fuori dalle strutture sanitarie che hanno raccolto originariamente i dati, ma conserva informazioni cliniche e identificative per svolgere funzioni amministrative. Nel primo caso la fiducia viene trasferita al piano di gestione hardware; nel secondo a un business associate che aggrega dati di pazienti appartenenti a più clienti. La ricerca di Lava sui BMC esposti raccomanda di bloccare la porta UDP 623 al perimetro, rimuovere IPMI e Redfish da Internet, ruotare le password di fabbrica e isolare i controller su reti amministrative dedicate. La comunicazione sul data breach MCBS evidenzia invece la necessità di controllare i fornitori che ricevono dati sanitari, limitare le informazioni trasferite e imporre tempi di rilevamento e notifica compatibili con la sensibilità degli archivi. Proteggere soltanto il server o l’ospedale non basta quando il controllo reale e i dati più preziosi sono affidati a componenti laterali, poco visibili e altamente privilegiati.