נמצאו ע"י חברת סייבר ישראלית 3 חולשות קריטיות החושפות מיליוני חברות בעולם לתקיפה
מאת: מערכת Telecom News, 8.3.22, 17:47
 
החשש הוא, שע"י ניצול החולשות בשם TLStorm במכשירי האל-פסק ניתן להשתלט מרחוק או לפגוע במכשירים תעשייתיים, רפואיים וארגוניים. לניצול פרצות מסוגים כאלה יש השלכות פוטנציאליות אדירות – בעיקר במצב הגיאו-פוליטי הנוכחי באוקראינה. נציגי אבטחת המידע של ה-FBI והמחלקה לביטחון המולדת (DHS) של ארה"ב הנחו סקטורים של תשתיות קריטיות לעדכן את אבטחת המידע שלהם ולדווח על כל התרחשות בלתי רגילה, ובכך הכניסו את הארגונים לכוננות גבוהה.
 
ארמיס הישראלית, שעוסקת בזיהוי ואבטחת נכסי רשת ארגוניים ושנועדה לענות על סביבת האיומים החדשה, שנוצרת עם החיבור בין מכשירים, הודיעה על חשיפת 3 חולשות קריטיות במכשירי APC Smart-UPS העלולות לאפשר לתוקפים להשתלט עליהם מרחוק. במקרה של ניצול החולשות, הידועות בשם TLStorm, התוקפים יכולים לנתק, לשבש ולהרוס מכשירי APC Smart-UPS ואת המכשירים המחוברים אליהם.
 
רכיבי אל-פסק (UPS) מספקים גיבוי חירום למכשירים מגוונים ב-Data-Centers, מתקנים תעשייתיים, בתי חולים ועוד. APC היא חברת-בת של שניידר אלקטריק והיא אחת הספקיות המובילות בעולם של מכשירי UPS, עם מכירות של יותר מ-20 מיליון מכשירים בעולם.

המחקר מצא חולשות קריטיות אליהן חשופות 8 מתוך 10 חברות, ומשפיעות על עשרות מיליוני מכשירים ברחבי העולם. חוקרי החברה אף הדגימו כיצד הם יכולים לגרום לאותם מכשירים לעלות באש, ולגרום נזק פיזי ממשי דרך פגיעות באבטחת מידע.

לניצול פרצות מסוגים כאלה יש השלכות פוטנציאליות אדירות – בעיקר במצב הגיאו-פוליטי הנוכחי באוקראינה. נציגי אבטחת המידע של ה-FBI והמחלקה לביטחון המולדת (DHS) של ארה"ב הנחו סקטורים של תשתיות קריטיות לעדכן את אבטחת המידע שלהם ולדווח על כל התרחשות בלתי רגילה, ובכך הכניסו את הארגונים לכוננות גבוהה.
 
זיהוי ומניעת סיכוני אבטחה
 
ארמיס חוקרת ומנתחת מגוון מכשירים נפוצים כדי לסייע למנהלי אבטחה להגן על ארגוניהם מפני איומים. לצורך המחקר הזה, ארמיס חקרה מכשירי APC Smart-UPS - מכשירי הUPS החדישים ביותר של APC המשתמשים בחיבור ענן לניהול מרחוק. החוקרים בארמיס מצאו, שתוקף, שינצל את חולשות ה-TLStorm, יוכל להשתלט מרחוק על מכשירים דרך האינטרנט ללא צורך באינטראקציה עם משתמש.
 
החולשות שנחשפו כוללות 2 חולשות קריטיות במימוש של TLS, שנעשה במכשירי Smart-UPS מחוברי ענן, וחולשה שלישית, שנובעת מבעיית תכנון והיא, ששדרוגי הקושחה (firmware upgrades) של מרבית מכשירי ה-Smart-UPS לא עוברים אימות קריפטוגרפי כראוי.
 
ב-2 החולשות בחיבור ה-TLS בין מכשירי ה-UPS לבין הענן של שניידר אלקטריק. המכשירים הפגיעים הם רכיבי הUPS התומכים ביישום SmartConnect. רכיבים אלה יוצרים באופן אוטומטי חיבור TLS ברגע ההפעלה או כאשר אובד החיבור לענן. תוקפים יכולים לנצל את החולשות דרך האינטרנט ללא כל צורך באימות או אינטראקציה עם המשתמש.
 
●       CVE-2022-22805 - (CVSS 9.0) TLS buffer overflow: A memory corruption bug in packet reassembly (RCE).
●       CVE-2022-22806 - (CVSS 9.0) TLS authentication bypass: A state confusion in the TLS handshake leads to authentication bypass, leading to remote code execution (RCE) using a network firmware upgrade.
 
החולשה השלישית היא תקלה בתכנון המוצר, שבמסגרתה עדכוני קושחה במכשירים האמורים לא נחתמים קריפטוגרפית באופן בטיחותי. כתוצאה, תוקף יכול ליצור קושחה זדונית ולהתקין אותה במספר דרכים, כולל דרך האינטרנט, LAN, או דיסק און קי (USB). הקושחה הזדונית יכולה לאפשר לתוקפים נגישות ארוכת טווח למכשירי UPS ולהשתמש בנגישות הזו לביצוע התקפות נוספות ברשת.
 
●       CVE-2022-0715 - (CVSS 8.9) Unsigned firmware upgrade that can be updated over the network (RCE).
 
ניצול חולשות במנגנוני עדכון קושחה הפך לפרקטיקה נפוצה של התקפות מתקדמות (APT-Advanced persistent threat), כפי שנכתב באריכות בניתוח של התוכנה הזדונית Cyclops Blink. המחסור בחתימת קושחה היא תקלה חוזרת במגוון מערכות. לדוגמא, חולשה, שארמיס איתרה בעבר במערכות Swisslog PTS (PwnedPiper, CVE-2021-37160) נבעה מסוג דומה של תקלה.
 
ברק חדד, (בתמונה משמאל), ראש המחקר בארמיס: "עד לאחרונה, תשתיות כמו מכשירי UPS לא נחשבו סיכון אבטחתי. עם זאת התברר, שלא הוטמעו בהם מנגנוני אבטחה מספקים עבור מכשירים שמנוהלים מרחוק, והמשמעות היא, שתוקפים יכולים להשתמש במכשירי ה-UPS כמשטח תקיפה.

בנוסף להתקנת ה-Patch-ים, חשוב, שתהיה למומחי אבטחה תמונת רשת של כל הנכסים בארגון, יחד עם היכולת לבקר את ההתנהגות שלהם כדי לזהות ניסיונות ניצול של חולשות כמו TLStorm".
 
יבגני דיברוב, (בתמונה משמאל), מנכ"ל ומייסד-שותף, ארמיס: "חולשות TLStorm קורות במערכות אבטחה פיזיות המגשרות בין העולמות הדיגיטליים והפיזיים שלנו, מה שנותן להתקפות סייבר אפשרות להשיג תוצאות בעולם האמיתי".
 
סרטון של מכשיר שהחברה מעלה באש מרחוק  - כאן.

הדו"ח - כאן.



עדכון 9.3.22: התייחסות מערך הסייבר הלאומי לחולשות הנ"ל - כאן.