Natuklasan ng mga mananaliksik sa seguridad ng Armis ang tatlong mga kahinaan sa pinamamahalaang hindi maaabala na mga supply ng kuryente ng APC na nagbibigay-daan sa remote control at pagmamanipula ng device, tulad ng pag-off ng power sa ilang port o paggamit nito bilang pambuwelo para sa mga pag-atake sa iba pang mga system. Ang mga kahinaan ay may codenamed na TLStorm at nakakaapekto sa APC Smart-UPS (SCL, SMX, SRT series) at SmartConnect (SMT, SMTL, SCL at SMX series).
Dalawang kahinaan ang sanhi ng mga error sa pagpapatupad ng TLS protocol sa mga device na pinamamahalaan sa pamamagitan ng isang sentralisadong serbisyo sa cloud mula sa Schneider Electric. Awtomatikong kumokonekta ang mga SmartConnect series device sa isang sentralisadong serbisyo sa cloud sa pagsisimula o pagkawala ng koneksyon, at ang isang attacker na walang authentication ay maaaring magsamantala ng mga kahinaan at makakuha ng ganap na kontrol sa device sa pamamagitan ng pagpapadala ng mga espesyal na idinisenyong packet sa UPS.
- CVE-2022-22805 - Buffer overflow sa packet reassembly code na pinagsamantalahan habang pinoproseso ang mga papasok na koneksyon. Ang problema ay sanhi ng pagkopya ng data sa buffer habang pinoproseso ang mga pira-pirasong tala ng TLS. Ang pagsasamantala sa kahinaan ay pinadali ng hindi tamang paghawak ng error kapag ginagamit ang Mocana nanoSSL library - pagkatapos magbalik ng isang error, hindi isinara ang koneksyon.
- CVE-2022-22806 - Pag-bypass ng pagpapatotoo kapag nagtatatag ng session ng TLS na dulot ng error sa estado sa panahon ng negosasyon sa koneksyon. Ang pag-cache ng isang uninitialized na null TLS key at hindi pinapansin ang error code na ibinalik ng Mocana nanoSSL library kapag natanggap ang isang packet na may walang laman na key ay naging posible na magpanggap bilang isang Schneider Electric server nang hindi dumadaan sa key exchange at verification stage.
Ang pangatlong kahinaan (CVE-2022-0715) ay nauugnay sa isang maling pagpapatupad ng pagsuri sa firmware na na-download para sa pag-update at pinapayagan ang isang umaatake na mag-install ng binagong firmware nang hindi bini-verify ang digital na lagda (napalabas na ang firmware ay hindi nagsusuri ng digital na pirma sa lahat. , ngunit gumagamit lamang ng simetriko na pag-encrypt na may paunang natukoy na key sa firmware) .
Kasama ang kahinaan ng CVE-2022-22805, maaaring palitan ng isang attacker ang firmware nang malayuan sa pamamagitan ng pagpapanggap bilang isang Schneider Electric cloud service o sa pamamagitan ng pagsisimula ng update mula sa isang lokal na network. Sa pagkakaroon ng access sa UPS, ang isang attacker ay maaaring maglagay ng backdoor o malisyosong code sa device, pati na rin magsagawa ng sabotage at i-off ang power sa mahahalagang consumer, halimbawa, patayin ang power sa mga video surveillance system sa mga bangko o life support mga kagamitan sa mga ospital.
Ang Schneider Electric ay naghanda ng mga patch upang ayusin ang mga problema, at naghahanda din ng pag-update ng firmware. Upang mabawasan ang panganib ng kompromiso, inirerekumenda din na baguhin ang default na password ("apc") sa mga device na may NMC (Network Management Card) card at mag-install ng isang digitally signed SSL certificate, pati na rin paghigpitan ang pag-access sa UPS sa firewall sa mga address lamang ng Schneider Electric Cloud.
Pinagmulan: opennet.ru