สรุปสั้น
นักวิจัยจากบริษัท Lava ผู้ให้บริการด้านความมั่นคงปลอดภัยจากอิสราเอล เปิดเผยผลสำรวจอินเทอร์เน็ตสาธารณะที่พบว่ามีอินเทอร์เฟซบริหารจัดการเซิร์ฟเวอร์ที่เรียกว่า Baseboard Management Controller (BMC) เปิดโปรโตคอล Intelligent Platform Management Interface (IPMI) ออกสู่อินเทอร์เน็ตถึง 36,872 เครื่อง และในจำนวนนี้ 24,650 เครื่องปล่อยข้อมูลยืนยันตัวตนที่คำนวณมาจากรหัสผ่านออกมาให้ผู้ร้องขอตั้งแต่ก่อนที่จะมีการล็อกอินจริง ต้นเหตุคือช่องโหว่ CVE-2013-4786 (CVSS 7.5) ซึ่งเป็นปัญหาการเปิดเผยข้อมูลระดับสูงที่ฝังอยู่ในตัวข้อกำหนดของ IPMI v2.0 เอง ไม่ใช่บั๊กของผู้ผลิตรายใดรายหนึ่ง โดยบริษัท Dell ระบุไว้ในคำแนะนำด้านความปลอดภัยของตนอย่างชัดเจนว่า “นี่เป็นปัญหาที่ติดมากับข้อกำหนดของ IPMI v2.0” และไม่มีแพตช์สำหรับแก้ไข
ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใดๆ เพียงแค่ส่งคำขอไปยังพอร์ต UDP 623 ก็จะได้รับค่า HMAC-SHA1 ที่คำนวณจากรหัสผ่านของบัญชีกลับมา แล้วนำไปไล่เดารหัสผ่านแบบออฟไลน์บนเครื่องตัวเองได้ไม่จำกัดจำนวนครั้ง โดยไม่ต้องยิงคำขอกลับไปที่ BMC อีกเลย ซึ่งทำให้กลไกตรวจจับการล็อกอินผิดซ้ำๆ ไม่มีโอกาสได้ทำงาน นาย Michael Katchinskiy นักวิจัยด้านความปลอดภัยระบุว่า แฮชที่ได้กลับมามากกว่า 30% เชื่อมโยงกับรหัสผ่านที่สามารถกู้คืนได้ด้วยเวิร์ดลิสต์ทั่วไปหรือรูปแบบรหัสผ่านที่ติดมากับสติกเกอร์ข้างตัวเครื่องจากโรงงาน และการเปิดเผยนี้ยังลามไปถึงเซิร์ฟเวอร์ Supermicro และ HPE รุ่นใหม่ที่ผู้ให้บริการ GPU ใช้งานอยู่ ซึ่งบางเครื่องยังคงใช้รหัสผ่านที่มาจากโรงงานโดยไม่เคยเปลี่ยน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กรกฎาคม 2569 ว่า บริษัท Lava ได้แบ่งปันรายงานฉบับใหม่ที่ชี้ว่าโครงสร้างพื้นฐานชั้นล่างสุดของศูนย์ข้อมูลกำลังกลายเป็นจุดบอดขนาดใหญ่ โดย BMC คือหน่วยประมวลผลเฉพาะทางที่ฝังอยู่บนเมนบอร์ดของเซิร์ฟเวอร์ ทำหน้าที่ควบคุมการจ่ายไฟ เฟิร์มแวร์ การเข้าถึงคอนโซลจากระยะไกล การติดตั้งระบบปฏิบัติการ และการกู้คืนระบบ อีกทั้งยังเป็นองค์ประกอบสำคัญของงานอัตโนมัติในศูนย์ข้อมูล ที่ใช้ติดตามค่าสถานะฮาร์ดแวร์และกระจายการอัปเดตเฟิร์มแวร์กับการตั้งค่า BIOS ในระดับจำนวนมาก โดยตัว BMC จะสื่อสารกับฮาร์ดแวร์ผ่านโปรโตคอลอย่าง IPMI และ Redfish
สิ่งที่ทำให้ BMC อันตรายเป็นพิเศษคือมันทำงานแยกขาดจากระบบปฏิบัติการของเครื่องโดยสมบูรณ์ ซึ่งเป็นกลไกที่เรียกว่าการจัดการนอกช่องทางปกติ (Out-of-Band management) ดังนั้นผู้โจมตีที่ยึด BMC ที่เปิดสู่ภายนอกได้สำเร็จ จะสามารถเดินอ้อมมาตรการความปลอดภัยแบบเดิมทั้งหมด อยู่รอดข้ามการติดตั้งระบบปฏิบัติการใหม่ และคงการเข้าถึงเอาไว้ได้ต่อเนื่อง ซึ่งบริษัท Eclypsium ที่ทำงานด้านความปลอดภัยเฟิร์มแวร์เคยเตือนถึงตำแหน่งอันได้เปรียบของ BMC ในฐานะเป้าหมายชั้นดีของผู้ไม่หวังดีไว้ตั้งแต่ช่วงปลายปี 2565 ถึงต้นปี 2566 แล้ว บริษัท Lava ยังระบุด้วยว่าในศูนย์ข้อมูล AI ยุคใหม่ซึ่งสภาพแวดล้อมแบบ bare-metal เครื่องเดียวกันมักรองรับผู้เช่าหลายรายพร้อมกัน BMC ที่หลุดออกมาเพียงตัวเดียวก็อาจทำให้ภาระงานของหลายองค์กรตกอยู่ในความเสี่ยงผ่านโครงสร้างพื้นฐานที่ใช้ร่วมกันหรือการเคลื่อนที่ทางข้าง จึงกลายเป็นจุดบอดที่มีนัยสำคัญของโครงสร้างพื้นฐานที่รองรับการเติบโตของศูนย์ข้อมูล AI ทั้งหมด
ข้อมูลการสแกน ณ วันที่ 6 พฤษภาคม 2569 พบโฮสต์ที่เปิดบริการ IPMI บนพอร์ต UDP 623 จำนวน 36,872 เครื่องที่ไม่ซ้ำกัน โดยกว่า 14,000 เครื่องอยู่ในสหรัฐอเมริกา ส่วนที่เหลือกระจุกตัวอยู่ในเยอรมนี จีน เนเธอร์แลนด์ และสหราชอาณาจักร เมื่อวิเคราะห์ลึกลงไปพบว่าเกือบ 25,000 เครื่องเปิดเผยข้อมูลที่ได้จากรหัสผ่านตั้งแต่ก่อนล็อกอิน เปิดทางให้ถอดรหัสผ่านแบบออฟไลน์ได้ และที่น่ากังวลยิ่งกว่าคือมี BMC ถึง 6,240 เครื่องที่ตอบข้อมูลยืนยันตัวตนสำหรับชื่อผู้ใช้ว่างเปล่าซึ่งตรงกับรหัสผ่านที่คาดเดาได้ง่าย และอีก 2,340 เครื่องตอบข้อมูลของบัญชีที่มีชื่ออย่าง ADMIN หรือ root ซึ่งตรงกับรหัสผ่านในเวิร์ดลิสต์ที่หาได้ทั่วไป
ในการทดสอบของบริษัท Lava รหัสผ่านจากโรงงานของ HPE iLO ถูกกู้คืนได้ภายในเวลาไม่ถึงหนึ่งนาทีด้วยฮาร์ดแวร์ GPU สมัยใหม่ ขณะที่รหัสผ่านจากโรงงานของ Supermicro ใช้เวลาราวหนึ่งชั่วโมง ทั้งที่ถูกกำหนดให้ไม่ซ้ำกันในแต่ละเครื่อง โดยบริษัท Supermicro ตอบกลับว่าจะพิจารณาปรับปรุงนโยบายรหัสผ่านเริ่มต้นในฮาร์ดแวร์รุ่นถัดไป ทั้งนี้ Lava ย้ำว่า “CVE-2013-4786 ไม่ใช่ของใหม่ แต่ความเสี่ยงรอบตัวมันเปลี่ยนไปแล้ว” เพราะการถอดรหัสด้วย GPU ทำให้การกู้คืนรหัสผ่านแบบออฟไลน์เร็วขึ้นมาก ขณะที่สภาพแวดล้อม AI และ bare-metal ยุคใหม่ทำให้เซิร์ฟเวอร์แต่ละเครื่องที่หลุดออกมามีมูลค่าสูงขึ้นตามไปด้วย
นอกจากนี้ยังมีหลักฐานว่าผู้โจมตีเริ่มเล็งอินเทอร์เฟซ BMC ที่เปิดสู่อินเทอร์เน็ตแล้วจริง โดยพบกลุ่มปฏิบัติการแรนซัมแวร์ทิ้งข้อความเรียกค่าไถ่ไว้บนหน้าล็อกอินของ HPE iLO 4 ซึ่งยังไม่ชัดเจนว่าใครอยู่เบื้องหลัง ทั้งนี้เซิร์ฟเวอร์ HPE iLO เคยตกเป็นเป้าหมายของการฝังรูทคิตชื่อ iLOBleed มาแล้วตั้งแต่ปี 2563
รายละเอียดช่องโหว่
หัวใจของงานวิจัยชิ้นนี้คือ CVE-2013-4786 ซึ่งเป็นจุดอ่อนที่มีอายุยาวนานในข้อกำหนด IPMI 2.0 และเปิดทางให้ผู้โจมตีกู้คืนรหัสผ่านที่อ่อนแอ ถูกใช้ซ้ำ ตั้งมาจากโรงงาน หรือมีรูปแบบที่คาดเดาได้ นาย Michael Katchinskiy อธิบายว่าในระหว่างกระบวนการยืนยันตัวตน ตัว BMC จะส่งข้อความตอบกลับที่บรรจุรหัสยืนยันตัวตนแบบ HMAC-SHA1 ซึ่งคำนวณจากรหัสผ่านของบัญชีร่วมกับค่าเซสชันที่ฝ่ายผู้ร้องขอรู้อยู่แล้ว
ช่องโหว่นี้อยู่ในขั้นตอนแลกเปลี่ยนกุญแจของโปรโตคอล RMCP+ Authenticated Key-Exchange Protocol (RAKP) ที่ BMC จะตอบค่าแฮชกลับมาให้ทันทีเมื่อมีการร้องขอ โดยไม่รอให้พิสูจน์ก่อนว่าผู้ร้องขอรู้รหัสผ่านจริงหรือไม่ ฝ่ายที่อยู่ระยะไกลและยังไม่ได้ยืนยันตัวตนใดๆ ซึ่งเข้าถึงพอร์ต UDP 623 ได้ จึงสามารถขอข้อความตอบกลับนี้แล้วนำไปทดสอบรหัสผ่านที่เดาไว้แบบออฟไลน์ ต่างจากการพยายามล็อกอินซ้ำๆ ตรงที่กระบวนการออฟไลน์ไม่จำเป็นต้องส่งคำขอใหม่ไปยัง BMC สำหรับรหัสผ่านที่ต้องการทดสอบแต่ละตัว จึงไม่ทิ้งร่องรอยการล็อกอินล้มเหลวและไม่ถูกจำกัดอัตราการเรียกใช้
เมื่อรหัสผ่านถูกถอดสำเร็จ ผู้โจมตีจะได้สิทธิ์ควบคุมเซิร์ฟเวอร์ในระดับที่เหนือกว่าผู้ดูแลระบบปฏิบัติการ ทั้งการเปิด-ปิดเครื่อง การเข้าคอนโซลระยะไกลเสมือนนั่งอยู่หน้าเครื่อง การเมาต์สื่อติดตั้ง และการแก้ไขเฟิร์มแวร์ ซึ่งเป็นเหตุผลที่นาย Yakir Kadkoda ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีและผู้ร่วมก่อตั้งบริษัท Lava ระบุว่า “องค์กรใช้เวลาหลายปีไปกับการเสริมความแข็งแกร่งให้ภาระงานบนคลาวด์และระบบปฏิบัติการ แต่หลายแห่งกลับมองข้ามโครงสร้างพื้นฐานที่อยู่ข้างใต้ทั้งหมดนั้น” และเมื่อคอนโทรลเลอร์เหล่านี้ถูกยึด ผู้โจมตีจะปฏิบัติการอยู่ใต้ระดับการมองเห็นของเครื่องมือความปลอดภัยแทบทุกชนิด คงอยู่ได้แม้ระบบจะถูกสร้างใหม่ และอาจคืบลึกเข้าไปในโครงสร้างพื้นฐานสำคัญได้ต่อ
ผลกระทบต่อไทย
ประเทศไทยกำลังอยู่ในช่วงขยายศูนย์ข้อมูลและบริการคลาวด์ในประเทศอย่างรวดเร็ว ทั้งจากผู้ให้บริการรายใหญ่ระดับโลกที่เข้ามาลงทุนและผู้ให้บริการในประเทศที่เปิดให้เช่าเซิร์ฟเวอร์แบบ bare-metal และเครื่อง GPU สำหรับงาน AI ซึ่งเซิร์ฟเวอร์เหล่านี้ล้วนมี BMC ติดมากับเมนบอร์ดทั้งสิ้น ไม่ว่าจะเป็น iLO ของ HPE, iDRAC ของ Dell หรือ IPMI ของ Supermicro หากผู้ดูแลระบบตั้งค่าให้พอร์ตจัดการเข้าถึงได้จากอินเทอร์เน็ตเพื่อความสะดวกในการดูแลระยะไกล และยังคงใช้รหัสผ่านจากโรงงาน ก็เท่ากับเปิดประตูหลังของทั้งเครื่องทิ้งไว้ให้ใครก็ได้เดินเข้ามา
ความเสี่ยงที่ควรกังวลเป็นพิเศษคือหน่วยงานที่เช่าพื้นที่แร็คในศูนย์ข้อมูลร่วม (colocation) และองค์กรที่ยังดูแลเซิร์ฟเวอร์ในห้องเซิร์ฟเวอร์ของตนเอง เพราะการตั้งค่าเครือข่ายจัดการมักถูกทำครั้งเดียวตอนติดตั้งแล้วไม่มีใครกลับมาทบทวนอีก อีกทั้งเครื่องที่ถูกยึดผ่าน BMC จะไม่ปรากฏร่องรอยใดๆ ในระบบ EDR หรือ log ของระบบปฏิบัติการ ทำให้ทีมตอบสนองเหตุการณ์ที่พึ่งพาเครื่องมือระดับโฮสต์เป็นหลักตรวจไม่พบ และหากผู้โจมตีใช้ช่องทางนี้ฝังตัวไว้ การล้างเครื่องติดตั้งใหม่ก็ไม่ช่วยอะไร ซึ่งกระทบโดยตรงต่อความต่อเนื่องของบริการในภาคการเงิน โทรคมนาคม และหน่วยงานรัฐที่ถือเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามกฎหมายไซเบอร์ของไทย
คำแนะนำ
- ปิดกั้นพอร์ต UDP 623 ที่ขอบเครือข่าย และตรวจสอบด้วยการสแกนจากภายนอกว่าไม่มี BMC เครื่องใดตอบกลับจากอินเทอร์เน็ต
- ย้าย BMC ทั้งหมดไปอยู่บนเครือข่ายจัดการส่วนตัวที่แยกขาดจากเครือข่ายผู้ใช้ และเข้าถึงได้เฉพาะผ่าน VPN หรือ jump host เท่านั้น
- เปลี่ยนรหัสผ่านที่ติดมาจากโรงงานทุกเครื่องตั้งแต่ขั้นตอนติดตั้ง ใช้รหัสผ่านสุ่มความยาวมากและไม่ซ้ำกันในแต่ละเครื่อง เพราะรหัสผ่านโรงงานของ HPE iLO ถูกถอดได้ในเวลาไม่ถึงหนึ่งนาที
- ปิดตัวเลือกเก่าหรืออ่อนแอ เช่น IPMI 1.5 และปิดฟีเจอร์ IPMI over LAN หากไม่จำเป็นต้องใช้จริง โดยเปลี่ยนไปใช้ Redfish over HTTPS แทน
- กำหนดการควบคุมการเข้าถึงเครือข่าย (ACL) ให้เฉพาะเครื่องของผู้ดูแลระบบที่ได้รับอนุมัติเท่านั้นที่ติดต่ออินเทอร์เฟซ BMC ได้
- จัดทำบัญชีทรัพย์สินของ BMC ทุกตัวพร้อมเวอร์ชันเฟิร์มแวร์ และรวมเข้าในรอบการอัปเดตเฟิร์มแวร์เช่นเดียวกับระบบปฏิบัติการ
- ผู้ให้บริการเช่าเซิร์ฟเวอร์และ GPU ควรบังคับหมุนเปลี่ยนรหัสผ่าน BMC ทุกครั้งที่ส่งมอบเครื่องให้ผู้เช่ารายใหม่ เพื่อป้องกันการเข้าถึงข้ามผู้เช่า