Ang mga tigdukiduki sa seguridad gikan sa Armis nagbutyag sa tulo ka mga kahuyangan sa APC nga nagdumala sa walay hunong nga mga suplay sa kuryente nga mahimong magtugot sa hilit nga pagkontrol sa device nga makuha ug mamanipula, sama sa pagpalong sa kuryente sa pipila ka mga pantalan o paggamit niini isip usa ka springboard alang sa mga pag-atake sa ubang mga sistema. Ang mga kahuyangan kay codenamed TLStorm ug makaapekto sa APC Smart-UPS device (SCL, SMX, SRT series) ug SmartConnect (SMT, SMTL, SCL ug SMX series).
Ang duha ka mga kahuyangan tungod sa mga sayup sa pagpatuman sa TLS protocol sa mga aparato nga gidumala pinaagi sa usa ka sentralisadong serbisyo sa panganod gikan sa Schneider Electric. Ang mga serye sa SmartConnect nga mga himan, sa pagsugod o pagkawala sa koneksyon, awtomatik nga magkonektar sa usa ka sentralisadong serbisyo sa panganod ug ang usa ka tig-atake nga walay panghimatuod mahimong makapahimulos sa mga kahuyangan ug makaangkon og bug-os nga kontrol sa device pinaagi sa pagpadala sa espesyal nga gidisenyo nga mga pakete ngadto sa UPS.
- CVE-2022-22805 - Usa ka buffer overflow sa packet reassembly code, gipahimuslan sa pagproseso sa umaabot nga mga koneksyon. Ang isyu tungod sa pagkopya sa datos ngadto sa usa ka buffer samtang nagproseso sa tipik nga mga rekord sa TLS. Ang pagpahimulos sa pagkahuyang gipadali pinaagi sa dili husto nga pagdumala sa sayup kung gigamit ang Mocana nanoSSL library - pagkahuman sa pagbalik sa usa ka sayup, ang koneksyon wala gisirhan.
- CVE-2022-22806 - Authentication bypass atol sa TLS session establishment, tungod sa state detection error atol sa connection negotiation. Pinaagi sa pag-cache sa usa ka uninitialized null TLS key ug pagbaliwala sa error code nga gibalik sa Mocana nanoSSL library sa dihang ang usa ka pakete nga adunay walay sulod nga yawe miabut, kini posible nga magpakaaron-ingnon nga usa ka Schneider Electric server nga dili moagi sa yawe nga exchange ug verification stage.
Ang ikatulo nga pagkahuyang (CVE-2022-0715) nalangkit sa usa ka sayup nga pagpatuman sa pagsusi sa firmware nga na-download alang sa pag-update ug gitugotan ang usa ka tig-atake nga i-install ang giusab nga firmware nga wala gisusi ang digital nga pirma (nahimo nga ang digital nga pirma sa firmware wala gisusi. sa tanan, apan gigamit lamang ang simetriko nga pag-encrypt nga adunay usa ka yawe nga gitakda nang daan sa firmware).
Kung giubanan sa pagkahuyang sa CVE-2022-22805, ang usa ka tig-atake mahimong mopuli sa firmware sa layo pinaagi sa pag-impersonate sa usa ka serbisyo sa panganod sa Schneider Electric o pinaagi sa pagsugod sa usa ka update gikan sa usa ka lokal nga network. Ang pag-access sa UPS, ang usa ka tig-atake mahimong magbutang usa ka backdoor o malisyoso nga code sa aparato, ingon man paghimo og pagsabotahe ug pagputol sa gahum sa hinungdanon nga mga konsumedor, pananglitan, pagputol sa gahum sa mga sistema sa pagbantay sa video sa mga bangko o mga aparato nga nagsuporta sa kinabuhi sa mga ospital.
Ang Schneider Electric nag-andam og mga patch aron ayuhon ang mga problema ug nag-andam usab og update sa firmware. Aron makunhuran ang peligro sa pagkompromiso, girekomenda usab nga usbon ang default nga password ("apc") sa mga aparato nga adunay NMC (Network Management Card) ug i-install ang usa ka sertipiko nga gipirmahan sa digital nga SSL, ingon usab limitahan ang pag-access sa UPS sa firewall Ang mga adres sa Schneider Electric Cloud lamang.
Source: opennet.ru