Tre sårbarheder opdaget i populære UPS-enheder
Sikkerhedsforskere har opdaget i alt tre sårbarheder, der påvirker uafbrydelige strømforsyningsenheder. De tre sårbarheder omtales samlet som TLStorm og vækker bekymring på grund af den almindelige brug af lignende UPS-enheder i kritisk infrastruktur.
Omkring 20 millioner enheder er berørt
Sårbarhederne blev først opdaget af et forskerhold med Aramis Research. Fejlene blev opdaget i UPS-enheder produceret af APC, et datterselskab af Schneider Electric. De enheder, der er berørt af sårbarhederne, er Smart-UPS-enhederne fremstillet af virksomheden.
Ifølge skøn, baseret på hvor enhederne bruges og det faktum, at omkring 20 millioner af dem er i brug, kan dette, hvis sårbarhederne aktivt udnyttes af trusselsaktører, føre til alvorlige skader på både netværkssystemer og infrastruktur i den virkelige verden. De opdagede fejl giver potentielle angribere mulighed for at bruge UPS-enhederne til at få uautoriseret adgang til et netværk og eksfiltrere data, samt forårsage forstyrrelser i tjenester ved at afbryde strømmen.
Sårbarheder giver mulighed for eventuel RCE
To af de tre samlede opdagede sårbarheder involverer manipulation med fejlhåndteringsmekanismen i Transport Layer Security, der griber ind i de trin, hvor enhederne opretter forbindelse til skyen. De første to fejl, kodificeret som CVE-2022-22805 og CVE-2022-22806, har begge en alvorlighedsgrad på 9. De omfatter en bufferoverløbsfejl, der kunne tillade fjernudførelse af kode på enheden og en omgåelse af godkendelse. Bypasset kunne også tillade RCE på den målrettede enhed.
Fejlene udløses gennem det, infosec kalder "zero-click" - uautentificerede pakker sendt over netværket uden nogen form for interaktion eller indgriben fra en brugers side.
Den endelige sårbarhed registreres som CVE-2022-0715 og udgør en fejl, der gør det muligt at anvende firmwareopdateringer, der ikke har fået sikre kryptografiske signaturer.
I kølvandet på den igangværende krig i Ukraine og de eskalerede spændinger mellem Rusland og vesten, skal lignende fejl, der har potentiale til at påvirke vigtige tjenester, faciliteter og kritisk infrastruktur, løses omgående.
