2022年03月31日
2022年2月29日，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局 (CISA) 和能源部 (DoE) 聯(lián)合發(fā)布了關(guān)于減輕針對聯(lián)網(wǎng)的不間斷電源 (UPS) 設(shè)備的攻擊指南。同時，CISA和DoE警告組織和企業(yè)，要小心攻擊者使用默認(rèn)用戶名和密碼對聯(lián)網(wǎng)的不間斷電源 (UPS) 設(shè)備進(jìn)行攻擊。
眾所周知，UPS是一種含有儲能裝置的不間斷電源，主要用于給部分對電源穩(wěn)定性要求較高的設(shè)備，提供不間斷的電源。當(dāng)出現(xiàn)斷電時，當(dāng)市電輸入正常時，UPS立即將電池的直流電能，通過逆變器切換轉(zhuǎn)換的方法向負(fù)載繼續(xù)供應(yīng)220V交流電，使負(fù)載維持正常工作并保護(hù)負(fù)載軟、硬件不受損壞。
而針對UPS設(shè)備攻擊的最終目的，是為了對企業(yè)和組織中那些依賴電源穩(wěn)定性的物理設(shè)備和 IT 資產(chǎn)進(jìn)行極端攻擊。
因此，指南建議組織立即檢查所有UPS和類似系統(tǒng)，并確保無法從互聯(lián)網(wǎng)訪問它們。在必須在線訪問UPS設(shè)備的情況下，CISA和DoE建議組織實施以下措施：
確保可以通過虛擬專用網(wǎng)絡(luò)訪問設(shè)備；
強(qiáng)制執(zhí)行多因素身份驗證；
根據(jù)美國國家標(biāo)準(zhǔn)與技術(shù)研究院指南使用強(qiáng)密碼或密碼短語；
此外，CISA還建議組織立即自查目前使用中的UPS設(shè)備憑據(jù)是否仍為出廠默認(rèn)設(shè)置，這將會大大增加黑客攻擊的成功率。指南中還發(fā)布了企業(yè)如何應(yīng)對針對UPS設(shè)備的攻擊，以及事件快速應(yīng)急響應(yīng)的最佳實踐等。
CISA和DoE之所以聯(lián)合發(fā)布警告，很大程度上是因為此前Armis公司研究人員在APC Smart-UPS設(shè)備中發(fā)現(xiàn)了三個關(guān)鍵的零日漏洞，黑客利用這三個漏洞可接管 Smart-UPS設(shè)備，并發(fā)起網(wǎng)絡(luò)攻擊，并將會對極度依賴電源的數(shù)據(jù)中心的機(jī)房造成難以言表的損失。
更糟糕的是，施耐德電氣子公司APC是UPS設(shè)備供應(yīng)巨頭之一，在全球銷售了超過2000萬臺設(shè)備，被廣泛應(yīng)用于醫(yī)療、零售、工業(yè)等部門。如今這些設(shè)備全部都處于黑客的攻擊范圍之內(nèi)，購買了這些設(shè)備的企業(yè)也面臨著巨大的網(wǎng)絡(luò)攻擊風(fēng)險。
這三個零日漏洞可以通過未經(jīng)身份驗證的網(wǎng)絡(luò)數(shù)據(jù)包觸發(fā)，無需任何用戶交互，危害性極大，以下是其具體信息：
CVE-2022-22805(CVSS分?jǐn)?shù)：9.0)——TLS緩沖區(qū)溢出；
CVE-2022-22806(CVSS分?jǐn)?shù)：9.0)——TLS身份驗證繞過；
CVE-2022-0715(CVSS評分：8.9)–可通過網(wǎng)絡(luò)更新的未簽名固件升級。
其中，前兩個漏洞(CVE-2022-22805和CVE-2022-22806)存在于TLS(傳輸層安全)協(xié)議的實施中，該協(xié)議將具有“SmartConnect”功能的Smart-UPS設(shè)備連接到施耐德電氣管理云。
第三個漏洞(CVE-2022-0715)，與“幾乎所有APC Smart-UPS設(shè)備”的固件有關(guān)，該固件未經(jīng)過加密簽名，安裝在系統(tǒng)上時無法驗證其真實性。雖然固件是加密的(對稱的)，但它缺乏加密簽名，允許攻擊者創(chuàng)建它的惡意版本并將其作為更新交付給目標(biāo)UPS設(shè)備以實現(xiàn)遠(yuǎn)程代碼執(zhí)行(RCE)。
2022年3月8日，施耐德電氣表示，這些漏洞被歸類為“嚴(yán)重”和“高嚴(yán)重性”，影響 SMT、SMC、SCL、SMX、SRT和SMTL系列產(chǎn)品。該公司已開始發(fā)布包含針對這些漏洞的補(bǔ)丁的固件更新。對于沒有固件補(bǔ)丁的產(chǎn)品，施耐德提供了一系列緩解措施來降低被利用的風(fēng)險