ブログ

Aug 15, 2023

研究者が APC Smart の脆弱性を発見

Getty Images/iStockphoto 新たに明らかになった 3 つのセキュリティ脆弱性は、物理的な損傷の可能性を含め、電源バックアップ デバイスに深刻な脅威をもたらします。 IoTセキュリティ会社の研究者

ゲッティイメージズ/iStockphoto

新たに明らかになった 3 つのセキュリティ脆弱性は、物理的な損傷の可能性を含め、電源バックアップ デバイスに深刻な脅威をもたらします。

IoT セキュリティ企業 Armis の研究者は、APC 製の無停電電源装置 (UPS) ボックスでのリモート コード実行を含む、TLStorm と呼ばれる 3 つの CVE リストに登録されたセキュリティ上の欠陥を発見し、報告しました。

バグは CVE-2022-22806、CVE-2022-22805、および CVE-2022-0715 としてリストされており、ファームウェアのアップデート、認証バイパス、バッファ オーバーフローのセキュリティ上の欠陥に対処しています。 最も深刻な欠陥により、デバイスがリモートで乗っ取られ、ハードウェア設定が変更されて物理的な火災の危険が生じる可能性があります。

UPS デバイスは通常、オープン インターネットに公開されませんが、APC の Smart-UPS デバイスは Web ベースの管理ポータルを備えているため、特有の脆弱性を抱えています。 このため、Armis の研究者らは、このバグは実際にリモートから悪用可能であり、リモートの攻撃者による攻撃に使用される可能性があると述べています。

最も深刻な欠陥は CVE-2022-0715 で、リモートの攻撃者が許可なくファームウェアのアップデートをプッシュできるようにする欠陥です。 攻撃者が UPS のファームウェアを上書きできる場合、重要なハードウェア設定を変更してデバイスを過熱させる可能性があります。 「TLStorm攻撃のサイバー物理的影響を例証するため、Armisの研究者らはユーザーの介入なしにネットワーク経由でSmart-UPSにダメージを与えることができた」とTLStormの報告書は述べている。

おそらく、さらに懸念されるのは、攻撃者が侵害された UPS を足がかりとして使用して、さらにネットワークにアクセスできる可能性であることです。 UPS ボックスは Web インターフェイス経由で管理されるため、攻撃者は UPS を操作してネットワーク上の他のシステムに接続する可能性があります。

Armis社の研究責任者であるBarak Hadad氏は、SearchSecurityに対し、リスクは各企業が自社のネットワークをどのように設定し、UPSを配置しているかによって決まると語った。

「UPS デバイスは通常、ミッションクリティカルなデバイスへの電力供給を担当しているため、UPS を停止すると、UPS に接続されているデバイスも停止し、深刻な影響を与える可能性があります」とハダド氏は説明しました。

「それに加えて、UPS は、UPS に依存するデバイスと同じ内部ネットワークに接続されることが多く、攻撃者はそれを利用して、UPS をゲートウェイとして使用して内部ネットワーク内を横方向に移動することができます。」

一方、CVE-2022-22806 と CVE-2022-22805 の脆弱性は、それぞれ認証バイパスとバッファ オーバーフローの脆弱性に対処します。 どちらの場合も、特別に作成された TLS パケットにより、攻撃者が UPS デバイス上でリモート コードを実行できる可能性があります。

Armis 社の研究者らは、この欠陥は、一般にセキュリティ リスクやアップデートの優先順位とはみなされていない UPS ボックスが、リモート管理機能の導入によってどのように攻撃ベクトルとなり得るかを示していると指摘しました。

研究チームは報告書の中でハリウッドについても言及した。

「UPS デバイスが高電圧電力を制御するという事実は、そのインターネット接続と相まって、サイバー物理的な標的として価値の高いものになっています。テレビ シリーズ『ミスター ロボット』では、悪役が APC UPS デバイスを使用して爆発を引き起こしました」と報告書は述べています。 。 「しかし、これはもはや架空の攻撃ではありません。Armis の研究者は、研究室でこれらの脆弱性を悪用することで、Smart-UPS デバイスを遠隔から発火させ、文字通り煙に巻かせることができました。」

Armisは、2021年10月31日にTLStormの脆弱性をAPCの親会社シュナイダーエレクトリックに開示し、同社と協力してSmart-UPSデバイス用のパッチを作成し、現在利用可能になったと述べた。 シュナイダーエレクトリックは火曜日、影響を受ける製品とセキュリティアップデートの詳細を記載したセキュリティ勧告を公開した。

Armis は、管理者がシュナイダー エレクトリックに接続して、UPS システムが最新のファームウェアで更新されていることを確認することを推奨しました。 Armis は、TLStorm の欠陥にパッチを適用することに加えて、潜在的な攻撃者を防ぐために、Smart-UPS デバイスのネットワーク管理カーのデフォルトのパスワードを変更し、ネットワーク アクセス ポリシーを再確認するようユーザーに呼び掛けました。