Центр кибербезопасности Бельгии (CCB) предупредил о шести новых уязвимостях в системных менеджерах Danfoss AK-SM800A, которые управляют холодильным оборудованием магазинов и складов. Они позволяют удалённо выполнить код без авторизации и получить полный контроль над контроллером. Затронуты все версии прошивки до 5.3.2 включительно.
Уязвимости обнаружил исследователь амстердамской компании Midnight Blue Карло Мейер. По его данным, на поиск ушло меньше часа ручного анализа. Все шесть — переполнения буфера в стеке, в основном из-за небезопасного копирования строк в обработчиках, доступных извне. Одна из уязвимостей находится в самом компоненте контроля сессий, поэтому включение «строгого» режима сессий от неё не защищает. В прошивке, как отмечают исследователи, нет защиты стека, рандомизации адресов и безопасной загрузки.
Midnight Blue считает реалистичными два сценария: злоумышленник может закрепиться в прошивке так, что заражение переживёт сброс к заводским настройкам и обновление, либо вывести контроллер из строя. Это оценка исследователей, а не продемонстрированная атака. Технические подробности не раскрываются до завершения согласованного раскрытия с Danfoss, идентификаторы CVE пока не присвоены.
Danfoss выпустила прошивку версии 5.4.0. Устраняет ли она новые уязвимости, на момент публикации не подтверждено: Midnight Blue ещё оценивает обновление.
Что рекомендуют специалисты
По рекомендации CCB, первоочередная мера — убрать прямой доступ к контроллерам из интернета. Обновление прошивки, смена паролей по умолчанию и строгий режим сессий сами по себе недостаточны. Midnight Blue советует подключать контроллеры только через VPN, частную мобильную сеть (APN) или строгий белый список IP-адресов, а также провести инвентаризацию всех доступных извне контроллеров, включая подключённые через 4G-модемы сервисных подрядчиков.
Почему это важно
С 11 октября в Европе идут атаки на доступные из интернета холодильные контроллеры Danfoss и Copeland: злоумышленники принудительно запускают циклы оттаивания и меняют уставки. По оценке Midnight Blue, ущерб от испорченных продуктов исчисляется десятками миллионов евро; вторая волна атак началась 2 ноября. По данным поисковика Censys на 10 ноября, в открытом доступе находились сотни систем Danfoss, а также более тысячи контроллеров Copeland и Dixell.
