L’exploit TLStorm affecte des millions d’onduleurs APC

Derrière le nom TLStorm, se cache un ensemble de trois vulnérabilités critiques qui touchent les onduleurs de la marque APC, une filiale de Schneider Electric. En exploitant ces vulnérabilités, un attaquant peut prendre le contrôle de l'équipement !

Les onduleurs sont présents dans toutes les entreprises équipées de matériels informatiques afin d'assurer une protection contre les incidents électriques en tout genre. Ceux de la marque APC sont assez répandus, ce qui fait que plusieurs millions d'entreprises sont vulnérables, aussi bien dans le domaine de l'industrie, de la vente, de la santé ou encore de l'informatique.

Les chercheurs en sécurité d'Armis, ont découvert les trois failles de sécurité au sein d'APC SmartConnect et de la gamme de produits APC Smart-UPS. Les vulnérabilités associées aux références CVE-2022-22805 et CVE-2022-22806 concernent l'implémentation du protocole TLS, ce dernier étant utilisé pour la connexion entre l'appareil Smart-UPS et la fonction SmartConnect pour un pilotage via le Cloud de Schneider Electric. D'où ce nom TLStorm puisque vous allez voir qu'une attaque peut combiner l'exploitation des trois vulnérabilités.

La troisième faille de sécurité, associée à la référence CVE-2022-0715, concerne le firmware de "presque tous les appareils APC Smart-UPS", car il n'est pas signé de manière cryptographique ! Cela signifie que son authenticité ne peut pas être vérifiée lorsqu'il est installé sur le système, et donc, qu'un attaquant pourrait charger une version malveillante afin de pouvoir exécuter du code à distance. Autrement dit, le firmware malveillant serait accepté par le Smart-UPS comme une mise à jour officielle.

TLStorm

D'après Armis, il y a trois manières de déployer ce firmware malveillant : à partir de la console de gestion Cloud, ou à partir du réseau local via la carte réseau de management ou encore via le port USB de l'appareil. Ces failles sont dangereuses, car l'impact est fort et elles sont exploitables sans authentification ni interaction d'un utilisateur. À cause d'un problème dans le "TLS handshake", l'authentification peut-être outrepassée.

Les recommandations pour se protéger

Pour protéger son onduleur Smart-UPS APC, Armis a publié les recommandations suivantes :

  • Installer les derniers correctifs disponibles sur le site de Schneider Electric
  • Modifier le mot de passe du compte "apc" si l'appareil dispose d'une carte de gestion à distance (NMC)
  • Mettre en place un certificat SSL si l'appareil dispose d'une carte de gestion à distance (NMC)
  • Mettre en place des ACLs pour que l'onduleur puisse communiquer uniquement avec certaines machines et le Cloud de Schneider Electric

Le bulletin de sécurité de Schneider Electric est également en ligne, avec la liste des modèles affectés.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian has 3767 posts and counting.See all posts by florian

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.

 

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.