APC Smart-UPS via kritiek beveiligingslek op afstand te vernietigen
Onderzoekers hebben in verschillende APC Smart-UPS-modellen kritieke kwetsbaarheden ontdekt waardoor het mogelijk is om de noodstroomvoorziening uit te schakelen, de stroomtoevoer te manipuleren of de apparaten zelfs te vernietigen. Dat claimt securitybedrijf Armis. APC heeft firmware-updates uitgebracht om de problemen te verhelpen.
Een Uninterruptible power supply (UPS) fungeert in het geval van stroomuitval als back-up. De Smart-UPS is een met de cloud verbonden oplossing, waardoor het onder andere mogelijk is om de apparaten op afstand te beheren en monitoren. Onderzoekers van Armis vonden drie kwetsbaarheden die het mogelijk maken om de apparaten op afstand aan te vallen.
Twee van de kwetsbaarheden bevinden zich in de TLS-verbinding tussen de UPS en de cloud. Een aanvaller kan zich zo als de clouddienst voordoen en willekeurige code op de UPS uitvoeren. Het derde probleem wordt veroorzaakt door het niet voldoende controleren van firmware. Hierdoor is het mogelijk voor een aanvaller om ongesigneerde firmware op afstand op de UPS-apparaten te installeren.
Zodra de UPS is gecompromitteerd kan een aanvaller verdere aanvallen op het netwerk uitvoeren of de UPS ontregelen. Daarbij stellen de onderzoekers dat het ook mogelijk is om de UPS zichzelf te laten vernietigen. Iets wat tijdens een experiment ook lukte, aldus een whitepaper over de kwetsbaarheden. Fabrikant Schneider Electric werd op 31 oktober vorig jaar ingelicht over de problemen en heeft inmiddels firmware-updates uitgerold.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Er zijn iedergeval patches beschikbaar voor de genoemde series in het artikel.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
De modellen staan hier beschreven (Ergens op de helft van de pagina): https://www.armis.com/research/tlstorm/
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Ik neem aan dat de modellen die via USB of seriële kabel met de server verbonden zijn niet zomaar gecompromitteerd kunnen worden.
Ik heb hier de nodige APC Smart-UPS SUA1000i en SUA1500i staan.
Dank. Daar heb ik wat aan.
Hier zie je de hack gedemonstreerd. Tot destructie van de UPS aan toe.
https://vimeo.com/683449370?embedded=true&source=video_title&owner=141305690
Inderdaad. Niet lezen is gewoon dom.
Je kunt zo'n cloud-connectie onwenselijk vinden als designer - maar de reden en het voordeel voor wat kleinere IT toko's is heel logisch .
Het "nette" alternatief is zorgen dat er een netwerk (vast of VPN) is waarover de UPSen bereikbaar zijn, en zelf de noodzakelijke management server(s) draaien die de UPSen monitoren en alarmdingen sturen als een UPS "aan" gegaan is of anderszins wat te melden heeft .
Met zo'n cloud-management heb je dat allemaal buiten de deur, en gaat de UPS gewoon zelf naar buiten oiver ieder standaard Internet+NAT routertje .
Als je een wat kleinere organsiatie bent met een paar remote locaties waar dan een UPSje staat met verder 'gewoon Internet' kan ik best begrijpen dat zo'n cloud-beheer-panel heel aantrekkelijk is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
