Armis இன் பாதுகாப்பு ஆய்வாளர்கள், APC நிர்வகிக்கப்பட்ட தடையில்லா மின்சாரம் வழங்குவதில் உள்ள மூன்று பாதிப்புகளை வெளிப்படுத்தியுள்ளனர், அவை சாதனத்தின் ரிமோட் கண்ட்ரோலை எடுத்து கையாள அனுமதிக்கலாம், அதாவது சில துறைமுகங்களுக்கு மின்சக்தியை முடக்குவது அல்லது பிற அமைப்புகளின் மீதான தாக்குதல்களுக்கு ஊக்குவிப்பாளராகப் பயன்படுத்துவது போன்றவை. பாதிப்புகள் TLStorm என்ற குறியீட்டுப் பெயருடன் APC Smart-UPS சாதனங்கள் (SCL, SMX, SRT தொடர்கள்) மற்றும் SmartConnect (SMT, SMTL, SCL மற்றும் SMX தொடர்கள்) ஆகியவற்றைப் பாதிக்கின்றன.
Schneider Electric இலிருந்து ஒரு மையப்படுத்தப்பட்ட கிளவுட் சேவை மூலம் நிர்வகிக்கப்படும் சாதனங்களில் TLS நெறிமுறையை செயல்படுத்துவதில் உள்ள பிழைகளால் இரண்டு பாதிப்புகள் ஏற்படுகின்றன. SmartConnect தொடர் சாதனங்கள், தொடக்கம் அல்லது இணைப்பை இழந்தால், தானாகவே ஒரு மையப்படுத்தப்பட்ட கிளவுட் சேவையுடன் இணைக்கப்படும் மற்றும் அங்கீகாரம் இல்லாமல் தாக்குபவர், பாதிப்புகளை பயன்படுத்தி, சிறப்பாக வடிவமைக்கப்பட்ட தொகுப்புகளை UPS க்கு அனுப்புவதன் மூலம் சாதனத்தின் மீது முழு கட்டுப்பாட்டையும் பெறலாம்.
- CVE-2022-22805 - உள்வரும் இணைப்புகளைச் செயலாக்கும்போது பயன்படுத்தப்படும் பாக்கெட் மறுசீரமைப்புக் குறியீட்டில் உள்ள இடையக வழிதல். துண்டு துண்டான TLS பதிவுகளைச் செயலாக்கும்போது, தரவை இடையகத்திற்கு நகலெடுப்பதால் சிக்கல் ஏற்படுகிறது. மோகானா நானோஎஸ்எஸ்எல் நூலகத்தைப் பயன்படுத்தும் போது தவறான பிழை கையாளுதலின் மூலம் பாதிப்பின் சுரண்டல் எளிதாக்கப்படுகிறது - பிழை திரும்பிய பிறகு, இணைப்பு மூடப்படவில்லை.
- CVE-2022-22806 - TLS அமர்வு நிறுவலின் போது அங்கீகரிப்பு பைபாஸ், இணைப்பு பேச்சுவார்த்தையின் போது மாநில கண்டறிதல் பிழை ஏற்பட்டது. துவக்கப்படாத பூஜ்ய TLS விசையைத் தேக்கி வைப்பதன் மூலமும், மொகானா நானோஎஸ்எஸ்எல் நூலகத்தால் வழங்கப்பட்ட பிழைக் குறியீட்டைப் புறக்கணிப்பதன் மூலமும், காலியான விசையுடன் கூடிய பாக்கெட் வந்ததும், விசைப் பரிமாற்றம் மற்றும் சரிபார்ப்பு நிலைக்குச் செல்லாமல், ஷ்னீடர் எலக்ட்ரிக் சர்வர் போல் நடிக்க முடியும்.
மூன்றாவது பாதிப்பு (CVE-2022-0715) புதுப்பிப்பதற்காக பதிவிறக்கம் செய்யப்பட்ட ஃபார்ம்வேரைச் சரிபார்ப்பதில் தவறான செயலாக்கத்துடன் தொடர்புடையது மற்றும் டிஜிட்டல் கையொப்பத்தைச் சரிபார்க்காமல் மாற்றியமைக்கப்பட்ட ஃபார்ம்வேரை நிறுவ தாக்குபவர் அனுமதிக்கிறது (ஃபர்ம்வேரின் டிஜிட்டல் கையொப்பம் சரிபார்க்கப்படவில்லை என்பது தெரியவந்தது. அனைத்து, ஆனால் ஃபார்ம்வேரில் முன் வரையறுக்கப்பட்ட விசையுடன் சமச்சீர் குறியாக்கத்தை மட்டுமே பயன்படுத்துகிறது) .
CVE-2022-22805 பாதிப்புடன் இணைந்தால், Schneider Electric கிளவுட் சேவையைப் போல ஆள்மாறாட்டம் செய்வதன் மூலம் அல்லது உள்ளூர் நெட்வொர்க்கிலிருந்து புதுப்பிப்பைத் தொடங்குவதன் மூலம், தாக்குபவர் ஃபார்ம்வேரை ரிமோட் மூலம் மாற்றலாம். UPSக்கான அணுகலைப் பெற்ற பிறகு, தாக்குபவர் சாதனத்தில் பின்கதவு அல்லது தீங்கிழைக்கும் குறியீட்டை வைக்கலாம், அத்துடன் நாசவேலையில் ஈடுபடலாம் மற்றும் முக்கியமான நுகர்வோருக்கு மின்சாரத்தை துண்டிக்கலாம், எடுத்துக்காட்டாக, வங்கிகள் அல்லது வாழ்க்கை ஆதரவு சாதனங்களில் உள்ள வீடியோ கண்காணிப்பு அமைப்புகளுக்கான சக்தியை துண்டிக்கலாம். மருத்துவமனைகள்.
Schneider Electric ஆனது பிரச்சனைகளை சரிசெய்வதற்காக பேட்ச்களை தயார் செய்துள்ளது மேலும் ஒரு firmware அப்டேட்டையும் தயார் செய்து வருகிறது. சமரசத்தின் அபாயத்தைக் குறைக்க, NMC (நெட்வொர்க் மேனேஜ்மென்ட் கார்டு) உள்ள சாதனங்களில் இயல்புநிலை கடவுச்சொல்லை (“apc”) மாற்றவும், டிஜிட்டல் கையொப்பமிடப்பட்ட SSL சான்றிதழை நிறுவவும் பரிந்துரைக்கப்படுகிறது, அத்துடன் ஃபயர்வாலில் UPSக்கான அணுகலைக் கட்டுப்படுத்தவும். Schneider Electric Cloud முகவரிகள் மட்டுமே.
ஆதாரம்: opennet.ru