Un investigador de runZero descubre más de una docena de fallos en los BMC de Huawei, Supermicro, Dell y otros fabricantes

Hay un chip dentro de casi cualquier servidor empresarial que rara vez entra en las conversaciones de seguridad, y precisamente por eso se ha convertido en uno de los puntos más golosos para un atacante. Se trata del BMC (Baseboard Management Controller), el pequeño ordenador independiente que permite reiniciar, actualizar o monitorizar un servidor incluso cuando este está apagado o no responde. Una nueva investigación presentada en la conferencia Black Hat USA 2026, en Las Vegas, ha vuelto a poner el foco sobre él, y las conclusiones no son precisamente tranquilizadoras.

El trabajo lo firma HD Moore, fundador y CTO de la firma de seguridad runZero (y conocido por ser el creador original de Metasploit), que ha encontrado más de una docena de vulnerabilidades nuevas en BMC de fabricantes como HPE, Supermicro, Dell, Huawei, Lenovo, Avocent, H3C e Intel (en modelos ya descatalogados). Según Moore, buena parte del problema no es nueva: algunos de los fallos que ya avisó en 2013 siguen sin corregirse del todo, más de una década después.

Sesiones predecibles y cifrado que no se aplica de verdad

Uno de los hallazgos más llamativos tiene que ver con cómo el protocolo IPMI gestiona la integridad y el cifrado dentro de una sesión ya establecida. El dispositivo decide si autentica y descifra cada paquete a partir de la cabecera que envía el propio atacante, no de los algoritmos que se negociaron al abrir la sesión. En la práctica, eso permite colar comandos sin firmar ni cifrar dentro de una conexión que, en teoría, debería estar protegida. Moore ha desarrollado una prueba de concepto que encadena varios fallos menores, en principio inofensivos por separado, hasta conseguir sesiones completas con control total del BMC. Este problema afecta a equipos de HPE, Supermicro e Intel en su gama heredada.

A eso se suma otro fallo relacionado con los identificadores de sesión: en varios sistemas, esos tokens se generan a partir de contadores o de un reloj interno en lugar de una fuente aleatoria segura. Un atacante puede predecirlos y apropiarse de la sesión activa de otro usuario, tanto en el servicio IPMI como en las consolas KVM basadas en navegador. Los dos fallos más graves de esta categoría están presentes en sistemas Supermicro.

Firmware sin firmar y credenciales que se pueden extraer

Otro bloque de vulnerabilidades apunta directamente a la integridad del firmware. En varios BMC no hay verificación de firma ni control de integridad de la configuración, lo que permite que un administrador ya autenticado (o alguien que haya conseguido esas credenciales) instale un implante persistente o sustituya la clave que se usa para validar el propio firmware. Encadenado con los bypasses de autenticación y las escaladas de privilegios encontradas en el resto de la investigación, esto abre la puerta a comprometer un servidor de forma prácticamente indetectable desde el sistema operativo principal. Los fabricantes afectados en este apartado son Supermicro, H3C y Dell.

Relacionado con esto, Moore también documenta un problema de secretos recuperables desde el propio firmware: claves y constantes que cualquiera puede extraer del firmware público sirven, en la práctica, como credenciales válidas para autenticarse en el BMC o para descifrar su tráfico de red. Esta debilidad afecta a Supermicro, OpenBMC, Huawei y Dell, y resulta especialmente delicada porque no requiere ningún acceso previo al servidor: basta con descargar el firmware que el propio fabricante publica.

Además, hay una vulnerabilidad de corrupción de memoria previa a la autenticación en el servicio SSH de gestión de HPE iLO. Un error de validación de longitud es accesible sin necesidad de credenciales y puede llegar a ejecutar código malicioso en el controlador, lo que la convierte en una de las piezas más peligrosas de todo el conjunto de hallazgos.

Contraseñas por defecto, la vieja vulnerabilidad que sigue viva

El apartado más veterano de la investigación tiene que ver con las credenciales de fábrica. Muchos dispositivos siguen usando contraseñas por defecto, y en los que sí generan una contraseña aleatoria antes de salir de fábrica, el espacio de posibilidades sigue siendo tan reducido que resulta viable recuperarla mediante ataques de fuerza bruta fuera de línea, apoyándose en la exposición de hashes que permite CVE-2013-4786. Ese fallo, documentado hace más de una década, sigue vivo: según la investigación, unos 75.000 BMC accesibles desde internet continúan expuestos a él.

Aquí hay diferencias notables entre fabricantes. HPE es, según Moore, el peor parado, con contraseñas por defecto de solo ocho caracteres numéricos o alfanuméricos. Supermicro y Dell usan contraseñas algo más largas, lo que encarece el ataque y puede retrasar la recuperación en claro durante horas o incluso días, dependiendo de la capacidad de cómputo disponible para el atacante.

Para dimensionar el alcance real del problema, el equipo de Moore realizó dos escaneos a gran escala: uno rastreando BMC expuestos directamente en internet y otro analizando redes corporativas internas. El primero localizó más de 86.000 controladores accesibles públicamente, de los cuales alrededor de la mitad presenta al menos una vulnerabilidad crítica sin corregir.

Como respuesta, Moore ha publicado una herramienta de escaneo de código abierto llamada OOBscan, pensada para que los equipos de administración de sistemas puedan auditar sus propias flotas de servidores y localizar qué BMC son vulnerables antes de que lo haga un atacante. Entre las recomendaciones básicas que acompañan la publicación destacan el uso de nombres de usuario largos y únicos junto con contraseñas complejas, desactivar IPMI y KCS cuando no sean estrictamente necesarios, bloquear el acceso desde el propio sistema operativo del servidor hacia el BMC y aislar la interfaz de red de cada controlador en lugar de compartir una misma VLAN entre varios equipos.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!