Data Domain: IPMI v2.0 – Offenlegung des Kennwort-Hash

Zusammenfassung: CVE-2013-4786 Sicherheitslücke durch Remote-Kennwort-Hash-Abruf bei IPMI 2.0-RACP-Authentifizierung

Dieser Artikel gilt für Dieser Artikel gilt nicht für Dieser Artikel ist nicht an ein bestimmtes Produkt gebunden. In diesem Artikel werden nicht alle Produktversionen aufgeführt.
Andere Ressourcen ansehen

Symptome

Das IPMI-Protokoll (Intelligent Platform Management Interface) ist aufgrund der Unterstützung der RMCP+ RAKP-Authentifizierung (Authenticated Key-Exchange Protocol) von einer Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen betroffen. Ein entfernter Angreifer kann Passwort-Hash-Informationen für gültige Benutzerkonten über den HMAC aus einer RACP-Meldungs-2-Antwort eines BMC erhalten.

Ursache

Dies ist ein inhärentes Problem mit der Spezifikation für IPMI v2.0. 
Die Sicherheitslücke IPMI 2.0 RAKP Authentication Remote Password Hash Retrieval (CVE-2013-4786) wurde im RACP-Protokoll identifiziert und ist Teil der IPMI 2.0-Spezifikation.

Lösung

Es gibt keinen Patch für diese Sicherheitslücke. 
  • Dell empfiehlt die Deaktivierung von IPMI-over-LAN, was über die iDRAC-Webschnittstelle oder den RACADM-Befehl erfolgen kann. 
Melden Sie sich für die iDRAC-Webschnittstelle an und navigieren Sie zu:
System-iDRAC-Einstellungen >> Netzwerk-/Sicherheitsnetzwerk-IPMI-Einstellungen
>> Deaktivieren Sie IPMI über LAN

aktivieren oder

führen Sie für RACADM den folgenden Befehl aus: 
racadm  r <IP_Address> -u root  p <password> -I config  g cfgIpmiLan  o cfgIpmiLanEnable 0

Wenn IPMI-over-LAN erforderlich ist, befolgen Sie die folgenden Best Practices:
  • Verwenden Sie sichere Kennwörter, um die Erfolgreichkeit von Offline-Wörterbuchangriffen einzuschränken.
  • Verwenden von Zugriffskontrolllisten (Access Control Lists, ACLs)
  • Verwenden Sie isolierte Netzwerke, um den Zugriff auf Ihre IPMI-Managementschnittstellen zu beschränken.

Betroffene Produkte

Data Domain
Artikeleigenschaften
Artikelnummer: 000222162
Artikeltyp: Solution
Zuletzt geändert: 05 Aug. 2025
Version:  3
Antworten auf Ihre Fragen erhalten Sie von anderen Dell NutzerInnen
Support Services
Prüfen Sie, ob Ihr Gerät durch Support Services abgedeckt ist.