IPMI en un servidor dedicado: qué expone y cómo blindarlo

Acabas de firmar el alquiler de un servidor dedicado. Instalas el sistema, mueves SSH a otro puerto, activas el firewall y repasas las reglas con cierta tranquilidad.

Falta una pieza. Dentro de esa máquina hay otro ordenador pequeño, con su propia red, sus propios usuarios y su propio firmware. Se llama BMC, habla IPMI y tu firewall no sabe que existe.

BMC vs IPMI: qué es cada uno y por qué tu firewall no los ve

El BMC (Baseboard Management Controller) es un microcontrolador soldado a la placa base. Tiene procesador, memoria y conexión de red propios, y sigue encendido aunque el sistema operativo esté apagado.

Desde él puedes arrancar y apagar la máquina, ver la pantalla como si estuvieras delante (la consola KVM) y montar una ISO remota para reinstalar desde cero. Es lo que usas de madrugada, cuando el kernel nuevo no arranca y SSH ya no responde.

IPMI es el protocolo con el que se habla con ese chip, y el BMC suele atenderlo en el puerto UDP 623. Las reglas que escribes en iptables, nftables o ufw se aplican dentro del sistema operativo. El tráfico hacia el BMC nunca pasa por el sistema.

Por qué cambiar la contraseña del BMC no basta

Muchos BMC salen de fábrica con credenciales conocidas: root/calvin en los DRAC de Dell, o ADMIN/ADMIN, la contraseña por defecto de IPMI en Supermicro hasta finales de 2019. Desde entonces, Supermicro graba una contraseña única en cada BMC nuevo, como ya hacía HP con una contraseña aleatoria para cada equipo.

Esas combinaciones circulan desde 2013 en guías de pentesting. Aún sirven para entrar en máquinas que nadie revisó.

Luego está el llamado cipher 0. Es un modo de autenticación de IPMI 2.0 que, en muchas implementaciones, acepta cualquier contraseña. Con ese modo activo, a un atacante le basta un nombre de usuario válido para enviar comandos al BMC.

El tercer fallo es de diseño. Durante el intercambio RAKP, la propia especificación obliga al BMC a enviar un hash de la contraseña del usuario antes de que el cliente se autentique. Con ese hash, el atacante prueba contraseñas sin conexión y sin prisa.

Está catalogado como CVE-2013-4786, con un CVSS de 7,5, y no depende de ningún fabricante concreto.

Para calcular ese intercambio, el BMC necesita las contraseñas en claro, y así las guarda. Quien entra en el chip se lleva todas las cuentas de una vez.

Cambiar la contraseña ayuda, pero no evita que el BMC entregue ese hash. Para eso solo hay una salida: que nadie de fuera pueda hablar con el BMC.

Vulnerabilidades en el firmware: Redfish y la interfaz web

IPMI no es la única puerta. Los BMC actuales ofrecen además una interfaz web y una API REST llamada Redfish, y las dos dependen del firmware del fabricante.

El 25 de junio de 2025, CISA incorporó a su catálogo de vulnerabilidades explotadas un fallo de AMI MegaRAC SPx que permite saltarse la autenticación en remoto a través de la Redfish Host Interface, con un CVSS de 9,8.

MegaRAC es el firmware de BMC de placas de muchas marcas. Actualiza el BMC con la misma disciplina que el kernel.

Puerto IPMI: cómo comprobar desde fuera si responde

Haz la prueba desde otra máquina y solo contra direcciones tuyas. Un VPS barato o la conexión de casa sirven. Si escaneas desde el propio servidor, no sabrás qué alcanza alguien desde internet.

Apunta a la dirección del BMC, no a la del sistema: si solo escaneas la IP pública del servidor, un resultado limpio no te dice nada del BMC.

Con dos de sus scripts, Nmap hace de escáner IPMI. Primero mira si el puerto contesta y si acepta el cipher 0:

sudo nmap -sU -p 623 --script ipmi-version,ipmi-cipher-zero TU_IP

Lo ideal es ver un puerto filtrado o cerrado, sin datos de versión. En UDP, nmap marca open|filtered cuando no recibe respuesta, y eso por sí solo no confirma nada: fíjate sobre todo en lo que devuelven los scripts.

Si nmap te devuelve la versión de IPMI, el BMC queda al alcance de cualquiera que escanee ese rango. Si ipmi-cipher-zero lo marca como vulnerable, además acepta el cipher 0.

Si el puerto responde, intenta autenticarte con cipher 0 y una contraseña inventada. Usa en -U un usuario que exista en ese BMC, como ADMIN en Supermicro o root en Dell:

ipmitool -I lanplus -C 0 -H TU_IP -U ADMIN -P inventada chassis status

Este comando tiene que fallar con un rechazo de la sesión; si no hay respuesta, solo sabes que no llegaste al BMC. Si te muestra el estado del chasis, el BMC acepta comandos sin una contraseña válida y el servidor todavía no está listo para producción.

Repite las dos pruebas cada vez que toques la red: basta una regla mal escrita en el router para dejar el puerto abierto.

Servidor alquilado: ¿quién tiene la llave de la consola?

En una máquina propia, tú decides a qué red va el BMC. En un servidor alquilado, el proveedor toma parte de esa decisión. Te conviene saber cuál tomó antes de subir datos reales.

Muchos proveedores dan acceso a la consola a través de su panel. Inicias sesión en el área de cliente y desde ahí abres el KVM en el navegador o una sesión Serial over LAN, a veces por SSH con una clave que registras en el mismo panel. Revisa cómo lo describe el tuyo en su documentación.

En el caso de los servidores dedicados de OVHcloud, la consola se abre desde la pestaña IPMI/KVM del área de cliente, donde también puedes reiniciar el BMC sin detener el sistema (en la gama Eco esta función puede no estar disponible o estar limitada).

Si el proveedor no te da acceso de administración al BMC, tu tarea ya no es configurarlo. Es comprobar cómo está expuesto.

Pregunta al soporte del proveedor si el BMC tiene una IP pública y cuál es, repite el escaneo del apartado anterior y revisa quién de tu equipo entra al panel, porque esa cuenta pasa a ser la llave de la consola.

Si tienes acceso al BMC, no desactives la consola del todo. Si un cambio en el firewall o en SSH te deja fuera, la consola del panel es la vía más directa para volver a entrar sin reinstalar.

Checklist IPMI antes de pasar a producción

Recorre esta lista con el servidor ya configurado y antes de apuntar el DNS hacia él. En un servidor alquilado, confirma con el proveedor los puntos que no puedas consultar tú:

• El escaneo externo de la IP del BMC no obtiene respuesta IPMI en el puerto UDP 623, y la interfaz de gestión está en una VLAN separada o detrás de una VPN.
• El cipher 0 está desactivado, y el intento con ipmitool falla con un rechazo de la sesión.
• Las cuentas de fábrica están deshabilitadas o renombradas, con una contraseña distinta en cada máquina.
• El firmware del BMC está en la última versión publicada por el fabricante de la placa.
• IPMI sobre LAN está apagado si la consola del panel te basta.
• Los registros del BMC no muestran inicios de sesión ni reinicios que nadie de tu equipo pidió.
• El último escaneo externo queda guardado con la fecha, junto al resto de la documentación del servidor.

La guía de bastionado de BMC de NSA y CISA, publicada en 2023, ordena sus recomendaciones en tres ejes: credenciales y configuración, integridad y actualizaciones, y separación de red.

En un servidor alquilado, parte de cada eje depende del proveedor, sobre todo la separación de red, y el escaneo externo es la forma de comprobarla sin gestionar esa red.