Redfish Authentication Bypass

Bypass de autenticação no Redfish Host Interface do firmware MegaRAC-SPx da AMI, que roda no BMC (Baseboard Management Controller) de servidores de fabricantes como HPE, Asus, ASRock, entre outros. Um atacante remoto sem credenciais pode obter controle administrativo total do BMC — e por extensão do servidor, mesmo com a máquina desligada — o que explica o CVSS 10.0 e a presença confirmada no catálogo KEV da CISA desde junho de 2025.

A falha é classificada como CWE-290 (Authentication Bypass by Spoofing). Segundo a análise da Eclypsium — que descobriu a vulnerabilidade enquanto investigava os patches de uma falha anterior de bypass de autenticação (CVE-2023-34329, de 2023) —, o Redfish Host Interface do MegaRAC confia em determinados cabeçalhos HTTP para decidir se uma requisição vem do sistema host local (que teria confiança implícita) ou de fora da rede. Manipulando cabeçalhos como "X-Server-Addr" ou "Host", um atacante consegue fazer o BMC acreditar que a requisição se origina do próprio host, herdando esse nível de confiança sem apresentar nenhuma credencial.

Com essa spoofing bem-sucedida, a interface Redfish aceita operações administrativas — incluindo criação de contas com privilégio de administrador — sem qualquer autenticação. A Eclypsium destacou que criar um exploit não é tecnicamente difícil, em parte porque os binários de firmware do MegaRAC BMC não são criptografados, facilitando a engenharia reversa da lógica de validação de origem.

O BMC roda com privilégios acima do sistema operacional e independente do estado de energia da máquina — ele tem acesso a memória, interfaces de rede e componentes de hardware do servidor. Isso significa que a falha não compromete apenas uma aplicação, mas a camada de gerência que fica abaixo (e fora do alcance) de EDR, antivírus e qualquer controle de segurança do SO.

O vetor é uma requisição HTTP simples contra a interface Redfish exposta pelo BMC — sem necessidade de autenticação prévia, interação do usuário ou condições de rede especiais além de conseguir alcançar a porta de gerência do dispositivo (CVSS AV:N, AC:L, PR:N, UI:N). O único pré-requisito real é acesso de rede ao endpoint Redfish do BMC; ambientes que isolam a rede de gerenciamento (out-of-band) atrás de segmentação restrita reduzem a exposição prática, mesmo sem patch.

A Eclypsium publicou prova de conceito pública demonstrando a criação de uma conta administrativa sem fornecer nenhuma credencial, e à época da divulgação (março de 2025) identificou mais de 1.000 instâncias MegaRAC expostas diretamente na internet. A CISA confirmou exploração ativa em junho de 2025, ao incluir a falha no catálogo KEV — mas nem a CISA nem a Eclypsium divulgaram detalhes técnicos dos ataques reais observados, nem atribuição confirmada (a Eclypsium especula, sem prova pública, que grupos de espionagem alinhados à China são os candidatos mais prováveis, mas isso é hipótese do pesquisador, não fato confirmado).

Com acesso administrativo ao BMC, o atacante controla o servidor independente do estado do sistema operacional: pode reiniciar, desligar, reimaginar o sistema, adulterar firmware (BMC, potencialmente BIOS/UEFI), implantar malware persistente abaixo do nível do SO, capturar credenciais armazenadas e usar o BMC como pivô para movimento lateral na rede de gerência. Eclypsium também alerta para o pior caso: comandos de sobretensão capazes de causar dano físico permanente ao hardware, e loops de reboot que a vítima não consegue interromper remotamente.

A AMI publicou correção no advisory AMI-SA-2025003. Segundo o registro de versões do próprio fornecedor no NVD, a linha 12.x é corrigida a partir da versão 12.7 e a linha 13.x a partir da versão 13.5 — aplicar essas versões (ou posteriores) do MegaRAC-SPx é a mitigação definitiva. Como a AMI é fornecedora de firmware na cadeia de suprimento de BIOS/BMC para diversos fabricantes de placas e servidores (a Ars Technica cita AMD, Ampere, ASRock, ARM, Fujitsu, Gigabyte, Huawei, Nvidia e Qualcomm como usuários do MegaRAC; a BleepingComputer cita também HPE e Asus), o patch efetivo depende do fabricante do equipamento disponibilizar seu próprio firmware atualizado incorporando a correção da AMI — nem todos haviam liberado patch downstream até a cobertura de junho de 2025.

Quando a atualização de firmware do fabricante não estiver disponível, o paliativo real é isolar a interface de gerenciamento (BMC/Redfish) em rede fora de banda sem exposição direta à internet e restrita a hosts administrativos confiáveis — reduz drasticamente a superfície de ataque, já que o exploit depende de alcançar a interface Redfish via rede. Esse controle não elimina o risco caso o atacante já tenha pé dentro da rede de gerência, mas neutraliza a exploração massiva via internet que a Eclypsium observou (mais de 1.000 instâncias expostas).

Não existe mitigação via WAF convencional documentada nas fontes, já que a falha está na lógica de validação de origem do próprio firmware do BMC, não em uma camada de aplicação web comum que passe por um proxy típico. Confiar apenas em segmentação de rede sem plano de atualização também não é solução permanente: CISA determinou prazo até 16/07/2025 para agências federais aplicarem a correção ou descontinuarem o uso do produto, reforçando que a expectativa é atualização de firmware, não apenas controle compensatório.

As fontes públicas não trazem indicadores de comprometimento específicos (assinaturas de rede, payloads de exploit ou logs característicos) para esta CVE — nem a CISA nem a Eclypsium divulgaram detalhes dos ataques observados na natureza. Como sinal geral de exposição, é possível verificar se a interface Redfish do BMC está acessível publicamente na internet (a Eclypsium usou esse critério para estimar mais de 1.000 instâncias expostas em março de 2025) e monitorar criação inesperada de contas administrativas no BMC, alterações de firmware fora de janelas de manutenção programadas e requisições HTTP à interface Redfish contendo valores anômalos ou não esperados nos cabeçalhos Host/X-Server-Addr — mas nenhuma dessas checagens substitui a aplicação do patch, e a ausência de log específico do fornecedor para esse padrão de exploração é, em si, uma limitação real de visibilidade.