Data Domain: IPMI v2.0 – Offenlegung des Kennwort-Hash

Summary: CVE-2013-4786 Sicherheitslücke durch Remote-Kennwort-Hash-Abruf bei IPMI 2.0-RACP-Authentifizierung

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

Das IPMI-Protokoll (Intelligent Platform Management Interface) ist aufgrund der Unterstützung der RMCP+ RAKP-Authentifizierung (Authenticated Key-Exchange Protocol) von einer Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen betroffen. Ein entfernter Angreifer kann Passwort-Hash-Informationen für gültige Benutzerkonten über den HMAC aus einer RACP-Meldungs-2-Antwort eines BMC erhalten.

Cause

Dies ist ein inhärentes Problem mit der Spezifikation für IPMI v2.0. 
Die Sicherheitslücke IPMI 2.0 RAKP Authentication Remote Password Hash Retrieval (CVE-2013-4786) wurde im RACP-Protokoll identifiziert und ist Teil der IPMI 2.0-Spezifikation.

Resolution

Es gibt keinen Patch für diese Sicherheitslücke. 
  • Dell empfiehlt die Deaktivierung von IPMI-over-LAN, was über die iDRAC-Webschnittstelle oder den RACADM-Befehl erfolgen kann. 
Melden Sie sich für die iDRAC-Webschnittstelle an und navigieren Sie zu:
System-iDRAC-Einstellungen >> Netzwerk-/Sicherheitsnetzwerk-IPMI-Einstellungen
>> Deaktivieren Sie IPMI über LAN

aktivieren oder

führen Sie für RACADM den folgenden Befehl aus: 
racadm  r <IP_Address> -u root  p <password> -I config  g cfgIpmiLan  o cfgIpmiLanEnable 0

Wenn IPMI-over-LAN erforderlich ist, befolgen Sie die folgenden Best Practices:
  • Verwenden Sie sichere Kennwörter, um die Erfolgreichkeit von Offline-Wörterbuchangriffen einzuschränken.
  • Verwenden von Zugriffskontrolllisten (Access Control Lists, ACLs)
  • Verwenden Sie isolierte Netzwerke, um den Zugriff auf Ihre IPMI-Managementschnittstellen zu beschränken.

Affected Products

Data Domain
Article Properties
Article Number: 000222162
Article Type: Solution
Last Modified: 05 Aug 2025
Version:  3
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.