Positive Technologies kompaniyasi APC uzluksiz quvvat manbalaridagi muhim zaifliklarni aniqladi.

Positive Technologies kompaniyasi APC uzluksiz quvvat manbalaridagi muhim zaifliklarni aniqladi.

Hujumchi bunday UPS bilan himoyalangan uskunani masofadan turib o’chirib qo’yishi mumkin.

Positive Technologies mutaxassislari Ilya Karpov, Evgeniy Drujinin va Stepan Nosov Schneider Electric kompaniyasining APC uzluksiz quvvat manbalarining boshqaruv modullarida ishlab chiqarish, sog’liqni saqlash, neft va gaz, ma’lumotlar markazlari, binolarni boshqarish tizimlari va boshqa sohalarda qo’llaniladigan to’rtta zaiflikni aniqladilar [1]. Zaifliklardan ikkitasi CVSS v.3 bo’yicha eng yuqori darajadagi 10 ball oldi.

Galaxy 5000/6000/9000, EPS 7000/8000/6000, Comet UPS/3000, Galaxy PW/3000/4000, STS (Upsilon va Epsilon) uzluksiz quvvat manbalariga o’rnatilgan APC MGE SNMP/Web Card Transverse 66074 boshqaruv modullarida xavfsizlik muammolari aniqlandi [2].

O’rnatilgan veb-serverdagi (80/443/TCP porti) birinchi zaiflik, CVE-2018-7243 (10 ball), masofaviy hujumchiga UPSni to’liq nazorat qilish uchun autentifikatsiyani chetlab o’tish imkonini beradi, bu esa elektr tarmog’iga ulangan uskunalarning ishlashini davom ettirishga tahdid soladi.

Zaiflikni bartaraf etish uchun ishlab chiqaruvchi Galaxy 5000, Galaxy 6000 va Galaxy 9000 UPSlarida zaif boshqaruv modulini NMC to’plami G5K9635CH bilan almashtirishni tavsiya qiladi. MGE EPS 7000 va MGE EPS 8000 uchun NMC to’plami G9KEPS9635CH o’rnatilishi kerak. Qolgan zaif UPSlar uchun almashtirish mavjud emas. Yetkazib beruvchi shuningdek, xavflarni minimallashtirish uchun standart kiberxavfsizlik amaliyotlariga rioya qilishni tavsiya qiladi.

O’rnatilgan veb-serverdagi ikkinchi zaiflik (80/443/TCP porti) UPS haqida maxfiy ma’lumotlarni olish imkonini beradi (CVE-2018-7244, 5.3 ball). Uchinchi zaiflik (CVE-2018-7245, 7.3 ball) ruxsatsiz tajovuzkorga o’chirish parametrlari kabi turli xil qurilma sozlamalarini o’zgartirish imkonini beradi. Ushbu ikkita zaiflikni kamaytirish uchun kirishni boshqarish sahifasidagi barcha HTML sahifalari uchun autentifikatsiyani yoqing (buni foydalanuvchi dastlabki UPS o’rnatish paytida amalga oshirishi mumkin).

To’rtinchi zaiflik (CVE-2018-7246, 10-ball) masofaviy hujumchiga administrator hisobi ma’lumotlarini ushlab qolish imkonini beradi. Agar qurilmada SSL yoqilmagan bo’lsa, kirishni boshqarish sahifasiga kirishda hisob ma’lumotlari ochiq matnda yuboriladi. Ishlab chiqaruvchi SSL dan standart rejim sifatida foydalanishni va qo’shimcha ravishda boshqaruv interfeyslariga kirishni boshqarishni tavsiya qiladi, masalan, UPSdagi Modbus RTU interfeysidan Modbus/SNMP shlyuzi bilan birgalikda foydalanish.

Sanoat boshqaruv tizimlarida kiber-hodisalar va zaifliklarni proaktiv ravishda aniqlash uchun Positive Technologies sanoat protokollarining o’ziga xos xususiyatlarini hisobga olgan holda PT ISIM va MaxPatrol 8 mahsulotlarini taklif etadi.

[1] apc.ru/news/news18.html?id=383

[2] Ro’yxatda keltirilgan qurilmalardan faqat Upsilon STS ishlab chiqarilmoqda; boshqa modellar bir necha yil oldin to’xtatilgan edi. Shunga qaramay, uskunalar hali ham ko’plab kompaniyalar tomonidan foydalanilmoqda va ishlab chiqaruvchi tomonidan rasman qo’llab-quvvatlanadi. Ushbu uskunaning internet portlarini ommaga ochiq qidiruv tizimlari orqali topish mumkin: Google, Shodan (shodan.io) va Censys (censys.io).