APC Smart-UPS via kritiek beveiligingslek op afstand te vernietigen
Onderzoekers hebben in verschillende APC Smart-UPS-modellen kritieke kwetsbaarheden ontdekt waardoor het mogelijk is om de noodstroomvoorziening uit te schakelen, de stroomtoevoer te manipuleren of de apparaten zelfs te vernietigen. Dat claimt securitybedrijf Armis. APC heeft firmware-updates uitgebracht om de problemen te verhelpen.
Een Uninterruptible power supply (UPS) fungeert in het geval van stroomuitval als back-up. De Smart-UPS is een met de cloud verbonden oplossing, waardoor het onder andere mogelijk is om de apparaten op afstand te beheren en monitoren. Onderzoekers van Armis vonden drie kwetsbaarheden die het mogelijk maken om de apparaten op afstand aan te vallen.
Twee van de kwetsbaarheden bevinden zich in de TLS-verbinding tussen de UPS en de cloud. Een aanvaller kan zich zo als de clouddienst voordoen en willekeurige code op de UPS uitvoeren. Het derde probleem wordt veroorzaakt door het niet voldoende controleren van firmware. Hierdoor is het mogelijk voor een aanvaller om ongesigneerde firmware op afstand op de UPS-apparaten te installeren.
Zodra de UPS is gecompromitteerd kan een aanvaller verdere aanvallen op het netwerk uitvoeren of de UPS ontregelen. Daarbij stellen de onderzoekers dat het ook mogelijk is om de UPS zichzelf te laten vernietigen. Iets wat tijdens een experiment ook lukte, aldus een whitepaper over de kwetsbaarheden. Fabrikant Schneider Electric werd op 31 oktober vorig jaar ingelicht over de problemen en heeft inmiddels firmware-updates uitgerold.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Er zijn iedergeval patches beschikbaar voor de genoemde series in het artikel.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
De modellen staan hier beschreven (Ergens op de helft van de pagina): https://www.armis.com/research/tlstorm/
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Dank. Daar heb ik wat aan.
Hier zie je de hack gedemonstreerd. Tot destructie van de UPS aan toe.
https://vimeo.com/683449370?embedded=true&source=video_title&owner=141305690
Inderdaad. Niet lezen is gewoon dom.
Je kunt zo'n cloud-connectie onwenselijk vinden als designer - maar de reden en het voordeel voor wat kleinere IT toko's is heel logisch .
Het "nette" alternatief is zorgen dat er een netwerk (vast of VPN) is waarover de UPSen bereikbaar zijn, en zelf de noodzakelijke management server(s) draaien die de UPSen monitoren en alarmdingen sturen als een UPS "aan" gegaan is of anderszins wat te melden heeft .
Met zo'n cloud-management heb je dat allemaal buiten de deur, en gaat de UPS gewoon zelf naar buiten oiver ieder standaard Internet+NAT routertje .
Als je een wat kleinere organsiatie bent met een paar remote locaties waar dan een UPSje staat met verder 'gewoon Internet' kan ik best begrijpen dat zo'n cloud-beheer-panel heel aantrekkelijk is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
