ebih dari 24.000 Server Bocorkan Hash Password Akibat Celah IPMI Berusia 20 Tahun

Para peneliti keamanan mengungkap bahwa lebih dari 24.000 server yang terhubung ke internet membocorkan hash kata sandi autentikasi melalui antarmuka Baseboard Management Controller (BMC) akibat celah keamanan yang telah ada selama lebih dari dua dekade.

Kerentanan ini memungkinkan penyerang memperoleh materi autentikasi yang kemudian dapat digunakan untuk memecahkan kata sandi secara offline menggunakan perangkat keras berperforma tinggi, seperti GPU.

Celah Berasal dari Protokol IPMI Lama

Masalah ini berkaitan dengan kerentanan CVE-2013-4786, yang memengaruhi implementasi IPMI 2.0 (Intelligent Platform Management Interface). Meski diberi nomor CVE pada 2013, kelemahan tersebut berasal dari desain protokol yang diperkenalkan sejak tahun 2004.

Melalui kelemahan ini, penyerang dapat meminta respons autentikasi dari server tanpa perlu mengetahui kata sandi terlebih dahulu.

Hash yang diperoleh kemudian dapat dipecahkan secara offline menggunakan teknik brute force maupun kamus kata sandi (dictionary attack), sehingga tidak menimbulkan aktivitas mencurigakan pada server target.

Apa Itu Baseboard Management Controller?

BMC merupakan prosesor khusus yang tertanam pada motherboard server dan digunakan administrator untuk melakukan pengelolaan perangkat dari jarak jauh, bahkan ketika sistem operasi tidak aktif.

Melalui antarmuka ini, administrator dapat:

• Menyalakan atau mematikan server.
• Memasang media virtual.
• Memperbarui firmware.
• Mengubah konfigurasi perangkat keras.
• Melakukan pemulihan sistem.

Apabila BMC berhasil diambil alih, penyerang dapat mengendalikan server pada level yang jauh lebih rendah dibandingkan sistem operasi, sehingga berbagai solusi keamanan konvensional tidak mampu mendeteksi aktivitas tersebut.

Ribuan Server Rentan

Penelitian yang dilakukan oleh perusahaan keamanan Lava menemukan sekitar 36.872 layanan IPMI yang dapat diakses langsung dari internet melalui port UDP 623.

Dari jumlah tersebut:

• 24.650 server membocorkan materi autentikasi yang dapat digunakan untuk memecahkan kata sandi secara offline.
• 6.240 server menerima autentikasi menggunakan nama pengguna kosong dan diketahui menggunakan kata sandi yang lemah.
• 2.340 server menggunakan kata sandi administrator yang cocok dengan kamus publik sehingga sangat mudah ditebak.

Amerika Serikat menjadi negara dengan jumlah server rentan terbanyak, mewakili sekitar 39 persen dari seluruh sistem yang ditemukan.

Password Bawaan Masih Jadi Masalah

Peneliti juga menemukan banyak sistem Supermicro yang masih menggunakan pola kata sandi bawaan berupa kombinasi 10 karakter huruf kapital dengan nama pengguna ADMIN.

Meskipun secara teori kombinasi tersebut memiliki jumlah kemungkinan yang besar, struktur yang tetap membuat proses pemecahan kata sandi secara offline masih memungkinkan dilakukan.

Pada sistem HPE, peneliti memperkirakan proses memecahkan satu respons autentikasi bawaan hanya membutuhkan waktu sekitar satu hari menggunakan perangkat keras modern.

Indikasi Aktivitas Penyerang

Selama penelitian berlangsung, tim Lava menemukan sebuah antarmuka HPE iLO 4 yang telah menampilkan pesan tebusan berisi permintaan pembayaran sebesar 0,3 Bitcoin.

Meski belum dapat dijadikan bukti adanya eksploitasi secara luas, temuan tersebut menunjukkan bahwa antarmuka manajemen server yang terekspos memang telah menjadi sasaran pelaku ancaman.

Vendor Telah Diberi Peringatan

Lava telah melaporkan temuan ini kepada Supermicro pada Juni 2026.

Perusahaan tersebut mengakui adanya risiko dan kembali mengingatkan administrator agar segera mengganti kata sandi bawaan BMC serta memisahkan jaringan manajemen dari jaringan publik. Supermicro juga menyatakan akan mempertimbangkan kebijakan kata sandi bawaan yang lebih kuat pada produk generasi berikutnya.

Sementara itu, HPE telah menerima laporan tersebut, namun hingga penelitian dipublikasikan belum memberikan tanggapan lebih lanjut.

Langkah Mitigasi

Peneliti merekomendasikan beberapa langkah untuk mengurangi risiko eksploitasi, antara lain:

• Tidak mengekspos layanan IPMI maupun Redfish langsung ke internet.
• Segera mengganti kata sandi bawaan BMC.
• Membatasi akses hanya melalui jaringan manajemen yang terisolasi.
• Menonaktifkan mekanisme autentikasi IPMI lama apabila memungkinkan.

Temuan ini menjadi pengingat bahwa kerentanan lama masih dapat menimbulkan ancaman besar apabila sistem tidak dikonfigurasi dengan benar. Organisasi yang mengelola server fisik disarankan segera melakukan audit terhadap antarmuka BMC mereka untuk memastikan tidak dapat diakses dari internet publik.