Tres vulnerabilidades de seguridad de alto impacto han sido reveladas en Dispositivos Smart-UPS de APC que podría ser abusado por adversarios remotos como un arma física para acceder y controlarlos de manera no autorizada.
Apodado colectivamente TLStormentalas fallas “permiten la toma remota completa de los dispositivos Smart-UPS y la capacidad de llevar a cabo ataques cibernéticos extremos”, dijeron Ben Seri y Barak Hadad, investigadores de la empresa de seguridad IoT Armis, en un informe publicado el martes.
Fuente de poder ininterrumpible (UPS) funcionan como proveedores de energía de respaldo de emergencia en entornos de misión crítica, como instalaciones médicas, salas de servidores y sistemas industriales. La mayoría de los dispositivos afectados, por un total de más de 20 millones, se han identificado hasta ahora en los sectores de atención médica, minorista, industrial y gubernamental.
TLStorm consta de un trío de fallas críticas que se pueden desencadenar a través de paquetes de red no autenticados sin requerir ninguna interacción del usuario, lo que significa que es un ataque de clic cero, con dos de los problemas que involucran un caso de falla Apretón de manos TLS entre el UPS y la nube de APC –
- CVE-2022-22805 (Puntuación CVSS: 9.0) – Desbordamiento de búfer TLS
- CVE-2022-22806 (Puntuación CVSS: 9.0) – Omisión de autenticación TLS
- CVE-2022-0715 (Puntuación CVSS: 8,9): actualización de firmware sin firmar que se puede actualizar a través de la red
La explotación exitosa de cualquiera de las fallas podría resultar en ataques de ejecución remota de código (RCE) en dispositivos vulnerables, que a su vez podrían ser armados para alterar las operaciones del UPS y dañar físicamente el dispositivo u otros activos conectados a él.
“Al usar nuestra vulnerabilidad RCE, pudimos eludir la protección del software y dejar que los períodos de picos de corriente se produjeran una y otra vez hasta que el capacitor del enlace de CC se calentó hasta ~150 grados centígrados (~300F), lo que provocó que el capacitor explotara y bloqueara el UPS en una nube de gas electrolito, causando daños colaterales al dispositivo”, dijeron los investigadores explicado.
Para empeorar las cosas, la falla en el mecanismo de actualización del firmware podría aprovecharse para plantar una actualización maliciosa en los dispositivos UPS, lo que permitiría a los atacantes establecer la persistencia durante períodos prolongados y utilizar el host comprometido como puerta de enlace para futuros ataques.
“El abuso de fallas en los mecanismos de actualización de firmware se está convirtiendo en una práctica estándar de las APT, como se detalló recientemente en el análisis del malware Cyclops Blink, y la firma incorrecta de firmwares de dispositivos integrados es una falla recurrente en varios sistemas integrados”, dijeron los investigadores. .
Tras la divulgación responsable a Schneider Electric el 31 de octubre de 2021, se publicaron correcciones como parte de Actualizaciones del martes de parches el 8 de marzo de 2022. Se recomienda a los clientes que instalen las actualizaciones proporcionadas para reducir el riesgo de explotación exitosa de estas vulnerabilidades.
“Los dispositivos UPS, como muchos otros dispositivos de infraestructura digital, a menudo se instalan y se olvidan”, concluyeron los investigadores. “Dado que estos dispositivos están conectados a las mismas redes internas que los sistemas comerciales centrales, los intentos de explotación pueden tener graves implicaciones”.