Schneider APC UPS デバイスに深刻な脆弱性:TLStorm という総称を持つ RCE

TLStorm flaws allow to remotely manipulate the power of millions of enterprise UPS devices

2022/03/10 SecurityAffairs — IoT セキュリティ企業である Armis の研究者たちが、APC Smart-UPS デバイスに影響を与える3つの深刻なセキュリティ不具合を発見し、一連の脆弱性は TLStorm と名付けられた。この欠陥により、数百万台の企業向けデバイスの電源をリモートの攻撃者が操作し、効果的なサイバー・フィジカル攻撃を行うことが可能になる。Uninterruptible Power Supply (UPS) は、ミッション・クリティカルなシステムの、緊急バックアップ電源として使用されるものだ。

Armis は、「TLStorm と呼ばれる、これらの脆弱性が悪用されると、Smart-UPS デバイスを完全にリモートで乗っ取ることができ、効果的なサイバー・フィジカル攻撃が可能になる。当社のデータによると、10社中 8社が、TLStorm の脆弱性にさらされている」と分析している。

APC は全世界で2000万台以上のデバイスを提供しており、研究者たちによると、10社中 8社近くが、TLStorm の脆弱性にさらされているとのことだ。脆弱性 TLStorm のうちの2つは、クラウド接続された Smart-UPS デバイスで使用される TLS 実装に存在し、3つ目は Smart-UPS デバイスのファームウェア・アップグレード・プロセスにおける設計上の欠陥である。

研究者たちは、ファームウェアのアップグレードが適切に署名/検証されていないことを発見している。この3つ目の欠陥は、攻撃者が脆弱な UPS デバイスに対して、悪意のアップデートを仕掛けることにより、永続的な攻撃能力を許す可能性がある。

以下は、専門家たちにより発見された欠陥のリストである。

  • CVE-2022-22806:TLS 認証バイパス:TLS ハンドシェイクにおける認証バイパスにより、ネットワーク・ファームウェアのアップグレードを使用したリモートコード実行 (RCE) につながる。
  • CVE-2022-22805:TLS バッファ・オーバーフロー:パケット再組み立てにおけるメモリ破壊のバグ (RCE)。
  • CVE-2022-0715:ネットワーク経由で更新可能な、無署名ファームウェアのアップグレード (RCE)。

    攻撃者は、上記の問題のいずれかをトリガーとして、脆弱なデバイス上でリモート・コードを実行し、UPS の動作を妨害し、物理的な損害を与えることが可能だ。

    Armis は、「UPSは、高圧電力を制御する機器であり、インターネットに接続されていることから、サイバー・フィジックスの標的として高い価値を有している。テレビドラマ Mr.Robot では、悪者が APC の UPS を悪用して爆発を起こした。しかし、それは、もはやフィクションの世界ではない。これらの脆弱性を、ラボで利用することで、研究者は Smart-UPS デバイスをリモートで発火させ、文字通り煙に巻くことができた」と述べている。
TLStorm

専門家たちは、ファームウェアのアップグレードプロセスにおける脆弱性は、洗練された APT グループにより、しばしば悪用されると指摘している。

https://player.vimeo.com/video/685464110?h=ad636200b5

2021年10月31日に Armis は、Schneider Electric の APC に欠陥たあることを報告し、このベンダーは、2022年3月8日の Patch Tuesday で、セキュリティ更新プログラムをリリースした。

このレポートは、「UPS デバイスは、多数のデジタル・インフラ家電と同様に、設置されたまま忘れ去られることが多い。これらのデバイスは、基幹業務システムと同じ内部ネットワークに接続されているため、悪用の試みにより深刻な影響が生じる可能性がある」と結論付けている。

セキュリティ担当者にとって、すべての資産を完全に可視化し、その挙動を監視し、異常や不正侵入の試みを特定することが重要だ。しかし、従来のセキュリティ・ソリューションでは、このような資産をカバーすることはできない。その結果として、これらの資産は「見えない」ままとなり、組織を重大なリスクにさらすことになる。

データセンターの写真を見ると、たくさんのラックが立てられていますが、その1つ1つの底部に USP が配置されています。瞬電はもちろんのこと、停電が生じても、UPS から一定の時間は電力が供給されるので、それぞれのサーバーを安全にシャットダウンされる仕組みになっています。つまり、その UPS が機能停止すると、それが1台だけだとしても、複数台のサーバーが異常停止します。たくさんの UPS が問題を抱えると、膨大な数のサーバーに影響が生じます。TLStorm の脆弱性は、すべての業種業態において、とても深刻な問題となります。

%d bloggers like this: