인터넷 노출 서버 관리 컨트롤러 2만4천여 대, 로그인 전 인증 정보 유출

이스라엘의 사이버보안·인프라 스타트업 라바(Lava)의 연구진은 2026년 5월 6일 기준으로 UDP 623번 포트에서 IPMI 서비스를 공개한 인터넷 호스트 36,872대를 발견했다. IPMI는 서버를 원격으로 관리할 때 BMC와 통신하는 프로토콜이다. 이 가운데 24,650대가 로그인 전에 비밀번호에서 파생된 인증 정보를 유출해 오프라인 추측이 가능한 상태였다. 오프라인 크래킹은 공격자가 유출된 해시를 확보한 뒤 대상 서버에 매번 접속하지 않고 자기 장비에서 비밀번호를 반복 추측하는 방식이다.

사양 자체에 내재한 인증 약점

문제의 원인은 IPMI 2.0 사양의 인증 약점과 관련된 CVE-2013-4786으로, CVSS 점수 7.5의 고위험 정보 노출 취약점이다. 인증 과정에서 BMC는 계정 비밀번호와 세션 값으로 계산한 HMAC 인증 코드를 반환할 수 있는데, 공격자는 이를 받아 후보 비밀번호마다 BMC에 재요청하지 않고 오프라인에서 추측할 수 있다. 델은 권고문에서 이를 IPMI 2.0 사양 자체의 문제로 규정하고 패치가 없다고 밝혔다.

반환된 해시의 30% 이상은 일반적인 단어 목록이나 예측 가능한 공장 출하 비밀번호 형식으로 복구할 수 있는 비밀번호와 연관됐다. 6,240대는 빈 사용자 이름에도 인증 정보를 반환했으며, 후속 검사에서 약한 비밀번호와 일치했다. 노출된 BMC 다수는 섀시 라벨에 인쇄된 10자 대문자 비밀번호와 사용자 이름 ‘ADMIN’을 쓰는 Supermicro 시스템으로, 라바 연구진은 제한된 형식 때문에 오프라인 추측이 가능하다고 평가했다. 같은 매체에 따르면 2,340대는 공개 사전과 일치하는 약한 관리자 비밀번호를 사용했다.

관리 계층 장악의 위험

노출 호스트의 지역 분포에서 미국 비중은 39%로 가장 높았다고 The Hacker News는 미국 내 호스트가 14,000대 이상이며 나머지 시스템은 독일·중국·네덜란드·영국에 집중됐다고 보도했다. BMC는 호스트 운영체제와 독립된 대역외(OOB) 관리 장치여서, 침해에 성공한 공격자는 기존 보안 통제를 우회하고 운영체제 재설치 뒤에도 접근을 유지할 수 있다. 라바 연구진은 인프라 분리가 미흡한 공유 환경에서는 한 BMC의 침해가 여러 테넌트의 워크로드에 영향을 줄 수 있다고 설명했다.

연구진이 Supermicro에 위험을 알린 뒤 회사는 기본 BMC 비밀번호 교체와 관리망 격리를 권고했으며, 향후 하드웨어의 기본 비밀번호 정책 강화를 검토하겠다고 밝혔다고 라바는 HPE에도 위험을 알렸지만 표준 자동응답 외에 보안팀의 후속 연락을 받지 못했다고 BleepingComputer에 밝혔다. 라바 연구진은 IPMI와 Redfish를 공용 인터넷에 노출하지 않고, 공장 출하 BMC 비밀번호를 교체하며, 격리된 관리망으로 접근을 제한하라고 권고했다.