La ciberamenaza silenciosa: vulnerabilidad crítica en servidores de centros de datos
Los administradores de sistemas están enfrentando una situación alarmante. La Agencia de Ciberseguridad e Infraestructura de Seguridad (CISA) de Estados Unidos ha emitido una advertencia que no deberíamos ignorar: hackers están explotando activamente una vulnerabilidad de severidad máxima (10/10) en miles de servidores, muchos de ellos encargados de tareas críticas en centros de datos. Y no, esta vez no es un simulacro.
¿Qué está pasando exactamente?
La vulnerabilidad identificada como CVE-2024-54085 afecta al firmware AMI MegaRAC, un paquete ampliamente utilizado que permite gestionar remotamente grandes flotas de servidores, incluso cuando están apagados o su sistema operativo no funciona. Estamos hablando de los controladores de gestión de placas base (BMCs), que son prácticamente los «superadministradores» de los servidores en centros de datos.
Para que lo entiendas: estos BMCs son como tener una puerta trasera legítima a los servidores. Los administradores los usan para reinstalar sistemas operativos, instalar aplicaciones o hacer cambios de configuración sin estar físicamente presentes. El problema es que si alguien malintencionado consigue acceso a un BMC, puede usarlo como punto de entrada para comprometer toda la red interna.
El método de ataque es ridículamente simple
Lo más aterrador de esta vulnerabilidad es su simplicidad: permite saltarse toda la autenticación con una simple petición web HTTP a un dispositivo BMC vulnerable. La firma de seguridad Eclypsium, que descubrió esta falla en marzo, incluso publicó código de ejemplo que permite a un atacante crear una cuenta de administrador sin proporcionar ninguna credencial. Cuando se publicó inicialmente, no había informes de explotación activa… hasta ahora.
El miércoles pasado, CISA añadió esta vulnerabilidad a su lista de «explotadas en entornos reales». Sin dar más detalles, lo que ya de por sí es preocupante.
El impacto potencial es devastador
Según los investigadores de Eclypsium, el alcance de estos ataques podría ser extremadamente amplio:
- Los atacantes podrían implantar código malicioso directamente en el firmware del BMC, haciéndose prácticamente indetectables y resistentes a reinstalaciones del sistema operativo o incluso reemplazos de discos.
- Al operar por debajo del sistema operativo, estos ataques evaden las protecciones de endpoints, registros y herramientas tradicionales de ciberseguridad.
- Con acceso al BMC, los atacantes pueden encender, apagar, reiniciar o reimaginar remotamente el servidor, sin importar el estado del sistema operativo principal.
- Pueden robar credenciales almacenadas, incluyendo las usadas para gestión remota, y utilizar el BMC como trampolín para moverse lateralmente por la red.
- Los BMCs tienen acceso a la memoria del sistema e interfaces de red, lo que permite a los atacantes capturar datos sensibles o extraer información sin ser detectados.
- También podrían corromper intencionadamente el firmware, dejando servidores inutilizables y causando importantes interrupciones operativas.
Todo esto no es solo teoría. CISA está advirtiendo que estos ataques están ocurriendo ahora mismo.
¿Quién está detrás de estos ataques?
Aunque no hay detalles públicos sobre los ataques en curso, los investigadores de Eclypsium apuntan a grupos de espionaje que trabajan para el gobierno chino como los culpables más probables. Todos los grupos APT (amenazas persistentes avanzadas) que mencionan tienen historial de explotar vulnerabilidades de firmware o de ganar acceso persistente a objetivos de alto valor.
Equipos afectados y mitigación
La línea de dispositivos AMI MegaRAC vulnerables utiliza una interfaz conocida como Redfish. Entre los fabricantes de servidores que utilizan estos productos se encuentran nombres como AMD, Ampere Computing, ASRock, ARM, Fujitsu, Gigabyte, Huawei, Nvidia, Supermicro y Qualcomm. Algunos de estos fabricantes ya han lanzado parches, pero no todos.
Dada la gravedad de la situación, los administradores deberían examinar urgentemente todos los BMCs de sus flotas para asegurarse de que no son vulnerables. Y si no estás seguro, lo mejor es consultar directamente con el fabricante.
La importancia de parchear inmediatamente
Esta vulnerabilidad representa un caso especialmente grave porque afecta a la capa más profunda de la infraestructura de TI. No estamos hablando de un simple agujero en una aplicación web, sino de un problema que permite a los atacantes tomar el control completo de los servidores desde sus raíces.
Si gestiono un centro de datos o tengo servidores a mi cargo, esta es una de esas vulnerabilidades que me harían cancelar planes de fin de semana para asegurarme de que todo está parcheado. Y no exagero. Cuando CISA añade una vulnerabilidad a su lista de «explotadas activamente», es momento de tomarla en serio.
En junio de 2025, seguimos viendo el mismo patrón: vulnerabilidades críticas que tardan demasiado en parchearse y atacantes que no pierden tiempo en aprovecharlas. La carrera entre defensores y atacantes continúa, y en esta ocasión, los malos han tomado ventaja.
