2万4,650台のサーバー管理用 BMCがパスワードハッシュを露出、IPMI 2.0の脆弱性 CVE-2013-4786を再調査

セキュリティ企業Lavaは2026年7月、インターネットへ公開されたサーバー管理用BMCを調査し、2万4,650台が認証前にパスワード由来の情報を返していたと公表しました。問題の中心は、2013年にCVEが割り当てられたIPMI 2.0の認証設計上の脆弱性CVE-2013-4786です。攻撃者はUDP 623番ポートへ到達できれば、BMCへ繰り返しログインを試みることなく認証応答を取得し、オフラインでパスワードを推測できます。Lavaは、調査対象の3割を超える認証応答について、一般的な辞書や工場出荷時パスワードの規則からパスワードを特定できたと説明しています。

BMCのパスワードハッシュ露出とCVE-2013-4786の概要サマリー

• Lavaは2026年5月6日、UDP 623番ポートでインターネットへ公開されたIPMIサービス3万6,872台を確認しました
• 2万4,650台、全体の66.9％が、認証完了前にパスワード由来のRAKP応答を返しました
• 問題はIPMI 2.0の認証設計に起因するCVE-2013-4786で、CVSS v3.0の基本値は7.5です
• 攻撃者は取得したHMAC-SHA1認証応答を使い、BMCへ追加通信せずにパスワードをオフライン解析できます
• 6,240台では空のユーザー名に対する弱いパスワード、2,340台ではADMINやrootなどのアカウントに一般的なパスワードが確認されました
• Supermicroの一意な10文字パスワードも、使用文字と長さが固定されているため、標的を限定すればGPUでの全数探索が現実的と評価されています
• Lavaは調査中、身代金要求文が表示されたインターネット公開中のHPE iLO 4を確認しました
• ただし、そのBMCへの侵入にCVE-2013-4786が使われたことや、サーバーデータが暗号化されたことは確認されていません
• 製品共通の修正版はなく、IPMIをインターネットへ公開しないことが最も重要な対策です
• BMCはOSやEDRの監視範囲外で動作するため、侵害されるとファームウェア層での永続化や管理ネットワーク内の横移動につながる可能性があります

項目	内容
CVE番号	CVE-2013-4786
対象	IPMI 2.0のRAKP認証を実装し、外部からUDP 623番ポートへ到達できるBMC
CVSS基本値	7.5 High（CVSS v3.0）
脆弱性の種別	認証情報管理の不備、パスワード由来HMACの認証前露出
CWE	CWE-255
攻撃条件	ネットワーク経由、認証不要、利用者操作不要
影響を受けるバージョン	IPMI 2.0 RAKPを実装する製品。具体的な影響はBMC製品・設定・ファームウェアにより異なる
修正版	製品共通の修正版なし。ベンダー別の設定変更、IPMI機能制限、更新を確認
主な影響	パスワードのオフライン解析、BMC管理権限の取得、サーバー制御、横移動、ファームウェア改ざん
公開IPMIホスト	3万6,872台
認証応答を露出したホスト	2万4,650台、66.9％
空のユーザー名と弱いパスワード	6,240台、16.9％
一般的なパスワードを使う名前付きアカウント	2,340台、6.3％
公開PoC・攻撃ツール	2013年から技術情報や検証手法が公開済み
実際の悪用状況	CVE-2013-4786を使った大規模な実悪用は未確認。公開BMCへの不正アクセスを示す事例は確認
主要な対策	UDP 623番ポートの外部遮断、管理ネットワーク分離、初期パスワード変更、弱いIPMI機能の無効化

3万6,872台のIPMIサービスがインターネットへ露出

Lavaは、サーバーのBMCがどの程度インターネットへ公開されているかを調べるため、UDP 623番ポートで応答するIPMIサービスを調査しました。

2026年5月6日の計測では、3万6,872個の一意なIPアドレスでIPMIサービスが公開されていました。5月から7月までの継続観測では、1日平均で約60個の新しいIPアドレスが確認されています。

インターネットへIPMIを公開していること自体は以前から問題視されてきました。今回の調査で重要なのは、そのうち2万4,650台、全体の66.9％が、利用者の認証が完了する前にパスワード由来の認証応答を返した点です。

BMCは一般的なWebサーバーや業務アプリケーションとは異なり、物理サーバーの管理を目的とする高権限な機能です。本来はインターネットから直接利用するものではなく、管理者専用の閉じたネットワークからアクセスすることが前提です。

BMCはOSの外側から物理サーバーを制御

BMCはBaseboard Management Controllerの略で、サーバーのマザーボード上に搭載される管理用プロセッサーです。

サーバーのOSが停止している場合でも動作し、電源のオン・オフ、再起動、ハードウェア状態の監視、リモートコンソール、仮想メディアの接続、ファームウェア更新、BIOS設定などを実行できます。

HPEではiLO、DellではiDRAC、LenovoではXClarity Controllerと呼ばれ、Supermicroも独自のBMC管理機能を提供しています。製品名やWeb画面は異なっても、IPMI 2.0を共通の管理プロトコルとして実装している場合があります。

BMCはホストOSとは独立しているため、一般的なEDRやウイルス対策製品では動作を監視できません。攻撃者がBMC管理権限を取得すると、OSを停止したり、仮想メディアから別のOSを起動したり、低レイヤーの設定を書き換えたりする可能性があります。

ファームウェアへ不正な変更を加えられた場合、OSの再インストールやディスク交換後も侵害状態が残るおそれがあります。復旧には、信頼できるファームウェアの再適用、構成の検証、場合によってはハードウェア交換が必要です。

原因はIPMI 2.0のRAKP認証設計

CVE-2013-4786は、特定メーカーの一つのBMCファームウェアだけに存在する実装ミスではありません。IPMI 2.0のRAKP認証方式に起因する設計上の問題です。

RAKPは、IPMI 2.0でリモートセッションを確立する際に使用される認証手順です。BMCは認証処理の途中で、利用者のパスワードと、接続要求者が把握しているセッション情報から計算したHMAC-SHA1値を返します。

攻撃者はBMCへ到達できれば、正しいパスワードを知らなくてもこの認証応答を取得できます。その後、候補となるパスワードから同じHMACを計算し、取得した値と一致するかを手元のGPUなどで確認します。

通常のログイン試行では、候補を一つ試すたびにBMCへ通信が発生し、失敗回数の制限や監視に検知される可能性があります。CVE-2013-4786では、一度認証応答を取得すれば、大量の候補をBMCへ送ることなくオフラインで検証できます。

そのため、アカウントロックやログイン失敗の監視だけでは、パスワード解析を止められません。

6,240台が空のユーザー名と弱いパスワードを使用

Lavaは、2万4,650台から取得した認証応答を、公開されている一般的なパスワード辞書と照合しました。

その結果、6,240台では空のユーザー名に対して認証応答が返され、その応答が弱いパスワード候補と一致しました。

2,340台では、ADMINやrootなどの名前付きアカウントで、公開パスワード辞書に含まれる一般的なパスワードが使われていました。これは認証応答を返したホストの約9.5％に相当します。

Lavaは、一致したパスワードを実際のBMCへ送信してログインする行為は行っていません。取得した認証応答を個別に解析し、候補パスワードから計算した値との一致だけを確認しています。

弱いパスワードや初期パスワードを使っている環境では、攻撃者が短時間で認証情報を特定できる可能性があります。

一意な工場出荷パスワードも形式から推測可能

Supermicroは2019年11月以降、従来の共通初期パスワードADMINを見直し、対象製品へ一意な工場出荷時パスワードを設定しています。

パスワードは10文字の英大文字で構成され、シャーシやマザーボードのラベルに印刷されます。すべての機器で異なるため、共通パスワードより安全性は高くなっています。

一方、Lavaは、文字数が10文字、使用文字が英大文字だけという形式が固定されているため、探索範囲が26の10乗、約141兆通りに限定されると指摘しました。

同社の試算では、8基のGPUを搭載したサーバーを使うと、特定の認証応答について約1時間で全候補を探索できるとしています。

Lavaは、テストを許可するセキュリティポリシーを公開していた米国のGPU事業者について、隣接する2台のSupermicroサーバーの認証応答を検証しました。いずれも2023年製のシステムで、復元したパスワードは10文字の英大文字という工場出荷形式と一致しました。

研究者は、特定したパスワードを使ったログイン、管理画面へのアクセス、サーバー操作は行っていません。事業者へ同日中に報告し、対象の公開設定は後に修正されました。

一意な初期パスワードであっても、形式が公開され、認証応答を取得できる状態では、標的を限定した攻撃に耐えられない可能性があります。導入時に十分な長さと複雑性を持つ独自パスワードへ変更する必要があります。

HPEの工場出荷時パスワードも短時間で解析

Lavaは、自社が所有するHPE iLO搭載サーバーを使い、工場出荷時パスワードの解析も検証しました。

HPEの対象パスワードは、英大文字と数字を使った8文字で、候補数は36の8乗、約2.8兆通りです。

Apple M3を使った検証では、1件の認証応答に対する全数探索に約1日を要しました。8基のRTX 6000 PROを搭載した同社の検証環境では、同じ探索を約32秒で完了したと説明しています。

これは、HPE製品全体のパスワードが32秒で破られるという意味ではありません。認証応答は接続ごとに固有の値を含むため、取得した応答ごとに個別の解析が必要です。

不特定多数の全ホストを解析するには大きな費用がかかりますが、価値の高い特定のサーバーやGPU基盤を狙う攻撃者にとっては現実的な時間と評価できます。

AI・GPU基盤では複数顧客へ影響する可能性

BMCの侵害は、単一の物理サーバーだけで終わらない場合があります。

GPUクラウドやAI基盤では、1台の物理サーバーを仮想化、GPU分割、コンテナなどで複数の利用者やワークロードが共有することがあります。

BMCからサーバーを停止されたり、起動構成やファームウェアを変更されたりすると、同じ物理サーバーを使う複数の顧客へ同時に影響する可能性があります。

BMC、プロビジョニングシステム、オーケストレーション基盤、認証情報保管庫、管理端末が同じ管理ネットワーク上に存在する場合、1台のBMCが管理プレーン全体への足掛かりになるおそれもあります。

特にベアメタルGPUを提供する事業者では、顧客ごとに物理サーバーを分けていても、BMC管理網や運用基盤が複数顧客で共有されている場合があります。顧客向けネットワークの分離だけでなく、事業者側の管理ネットワークをテナント境界として保護する必要があります。

公開iLO 4で身代金要求文を確認

Lavaは調査中、インターネットへ公開されたHPE iLO 4のログイン画面に、0.3 BTCを要求する身代金メッセージが表示されている事例を確認しました。

画面のSecurity Notice欄には、RSA-2048でサーバーのデータを暗号化したとする文章、暗号資産の要求額、連絡用メールアドレスが記載されていました。

画面を書き換えるには、何者かがBMC管理画面へアクセスした可能性があります。この事例は、インターネット公開されたBMCが攻撃対象になっていることを示します。

ただし、Lavaは、実際にサーバーのデータが暗号化されたのかを確認できていません。侵入時にCVE-2013-4786が利用されたのか、初期パスワードや別の脆弱性が使われたのかも不明です。

そのため、CVE-2013-4786が大規模に実悪用されていると断定することはできません。確認されているのは、少なくとも一部のインターネット公開BMCで、第三者による不正な操作を疑わせる状態が存在したことです。

製品共通の修正版が存在しない理由

CVE-2013-4786はIPMI 2.0のRAKP認証仕様に起因するため、一般的なソフトウェア脆弱性のように、すべての製品で問題を解決する共通の修正版はありません。

IPMI 2.0との互換性を維持したままRAKP認証を提供する場合、パスワード由来の応答を完全に出さない設計へ変更することが難しい場合があります。

ベンダーや世代によっては、IPMI over LANの無効化、特定の暗号スイートの制限、接続元IPアドレスの制御、Redfishへの移行などが可能です。

HPEはiLOのセキュリティ資料で、この問題がIPMI仕様に起因することを説明し、IPMIやDCMI over LANの利用を必要な範囲へ限定するよう案内しています。

SupermicroもBMCのセキュリティ対策として、UDP 623番ポートを信頼できないネットワークから遮断し、BMCを専用VLANへ分離し、IPアクセス制御と初期パスワード変更を行うよう案内しています。

管理者は、CVE番号に対応するファームウェア更新だけを探すのではなく、外部公開の停止と管理経路の再設計を優先する必要があります。

IPMIとRedfishをインターネットへ公開しない

Lavaが示した最も重要な対策は、IPMIをインターネットから到達できる状態にしないことです。

境界ファイアウォールやクラウドのセキュリティグループで、UDP 623番ポートへの外部通信を遮断してください。IPv4だけでなくIPv6経由の到達性も確認します。

BMCへのアクセスは、専用の管理ネットワーク、VPN、踏み台サーバー、特権アクセス管理基盤を経由させ、承認された管理端末と管理者だけに限定します。

RedfishはHTTPSと現代的なAPIを使用できますが、インターネットへ直接公開してよいという意味ではありません。Redfishも認証情報やBMC自体の脆弱性を狙われるため、隔離された管理ネットワーク内で利用する必要があります。

サーバーのホスティング事業者やGPUクラウドを利用している場合は、利用者自身がBMCの公開状態を変更できないことがあります。事業者へ管理インターフェースの接続元制限、VPN提供、初期パスワード変更、ログ監視の状況を確認してください。

初期パスワードと使い回しを廃止

工場出荷時に機器ごとに異なるパスワードが設定されていても、導入時に組織独自のパスワードへ変更する必要があります。

長さを十分に確保し、英大文字だけなど規則が限定された形式は避けます。BMCが対応する最大長や使用可能文字を確認し、パスワード管理ツールでランダムに生成してください。

同じ管理パスワードを複数台のBMCで使い回すと、1台の認証情報が特定された後、管理ネットワーク内の多数のサーバーへ侵害が広がります。

ローカルのBMCアカウントだけでなく、LDAP、Active Directory、RADIUSとの連携設定、サービスアカウント、保守事業者のアカウントも棚卸しします。

退職者、契約終了した保守会社、廃止済み監視システムのアカウントを削除し、管理権限は必要最小限にします。

旧式のIPMI機能を無効化

利用していない場合はIPMI over LAN自体を無効にし、Redfish over TLSなど、より管理しやすい方式へ移行します。

IPMIが必要な場合でも、IPMI 1.5、Cipher Suite 0、匿名アカウント、認証方式NONEなどの弱い機能を無効化してください。

空のユーザー名に認証応答を返す設定や、ADMIN、rootなど推測しやすいアカウント名も見直します。

BMCファームウェアを最新に更新し、製品ごとのセキュリティアドバイザリを確認します。今回のCVE-2013-4786を完全に解消できなくても、別の認証回避、コード実行、ファームウェア検証不備を修正できます。

Supermicro製BMCの別のリスクについては、SupermicroのBMCファームウェア検証に関する脆弱性CVE-2025-7937とCVE-2025-6198でも取り上げています。

侵害の有無を確認

IPMIやBMC管理画面をインターネットへ公開していた組織は、公開を停止するだけでなく、過去の侵害有無を調査する必要があります。

BMCの監査ログ、ログイン履歴、ユーザー変更、ファームウェア更新履歴、仮想メディアの接続、電源操作、BIOS設定変更を確認してください。

次のような事象は調査対象になります。

• 通常利用しない送信元IPアドレスからのBMCログイン
• 管理者アカウント、権限、パスワードの変更
• 不明なユーザーやAPIキーの追加
• 意図しないファームウェア更新
• 仮想CD・DVDやISOイメージのマウント
• 身に覚えのない電源操作や再起動
• 起動順序、Secure Boot、ネットワーク起動設定の変更
• Security Noticeなど管理画面表示の改ざん
• 管理ネットワーク内の別BMCへの不審な接続

BMCのログだけで十分な証拠を得られない場合があります。管理ネットワークのファイアウォール、VPN、踏み台サーバー、認証基盤、ネットワークフローのログも保全します。

侵害が疑われる場合は、ホストOSが正常に見えていても安全と判断できません。ベンダーの手順に従ってBMCファームウェアを検証・再適用し、BIOS、UEFI、その他のプラットフォームファームウェアも確認してください。

情報システム部門への示唆

情報システム部門は、BMCをサーバーの付属機能ではなく、独立した高権限システムとして資産管理してください。

iLO、iDRAC、XClarity、Supermicro BMC、OpenBMCなどの機器名、IPアドレス、ファームウェア、公開範囲、管理者、設置場所を台帳化します。

外部公開資産の棚卸しでは、Web管理画面のTCP 443番だけでなく、IPMIのUDP 623番、Redfish、リモートコンソール、仮想メディアなどの管理ポートを確認します。

BMC管理ネットワークは本番系、オフィスIT、顧客ネットワークから分離し、管理端末からのみ到達できる構成にします。ルーティングを制限し、BMCから任意のインターネット宛てに通信できないようにしてください。

踏み台サーバーとVPNには多要素認証を適用し、管理操作を記録します。BMC自体がMFAに対応していない場合でも、手前のアクセス基盤で認証を強化できます。

管理ネットワーク内では、1台のBMCが侵害されることを前提に、他のBMCへの横移動を防ぎます。サーバー群を役割や顧客ごとに分割し、機器間の直接通信を許可しないことが重要です。

GPUクラウドやベアメタル事業者を選定する際は、テナント向け通信の分離だけでなく、BMC管理プレーンの分離、認証情報の使い回し、ファームウェア更新、ログ監視、インシデント時の再信頼化手順を確認してください。

今回の問題は2013年に公表済みでありながら、2026年にも多数の機器がインターネットへ公開されていました。脆弱性情報を受け取るだけでなく、公開資産の継続的な探索と設定監査を行わなければ、既知の問題が長期間残り続けます。

出典

• How We Hacked Thousands of Data Centers in Minutes Using a 20-Year-Old Vulnerability – Lava
• CVE-2013-4786 Detail – National Vulnerability Database
• Supermicro Intelligent Management – Supermicro
• BMC Unique Password for Supermicro Products – Supermicro
• IPMI 2.0 RAKP RMCP+ Authentication HMAC Password Hash Exposure – HPE
• Guidelines for using iLO with IPMI or DCMI over LAN – HPE
• Over 24,000 exposed server BMCs leak password hash via decades-old flaw – BleepingComputer
• Supermicro、一部マザーボードのBMCに脆弱性CVE-2025-7937とCVE-2025-6198 – セキュリティ対策Lab