ಆರ್ಮಿಸ್ ಭದ್ರತಾ ಸಂಶೋಧಕರು ಇತ್ತೀಚೆಗೆ ಅವರು ಮೂರು ದೋಷಗಳನ್ನು ಕಂಡುಹಿಡಿದಿದ್ದಾರೆ ಎಂದು ಘೋಷಿಸಿದರು ನಿರ್ವಹಿಸಿದ ತಡೆರಹಿತ ವಿದ್ಯುತ್ ಸರಬರಾಜುಗಳಲ್ಲಿ ಎಪಿಸಿ ರಿಮೋಟ್ ಕಂಟ್ರೋಲ್ ಮತ್ತು ಸಾಧನದ ಕುಶಲತೆಯನ್ನು ಅನುಮತಿಸುತ್ತದೆ, ಉದಾಹರಣೆಗೆ ಕೆಲವು ಪೋರ್ಟ್‌ಗಳನ್ನು ಆಫ್ ಮಾಡುವುದು ಅಥವಾ ಇತರ ಸಿಸ್ಟಮ್‌ಗಳ ಮೇಲೆ ದಾಳಿ ಮಾಡಲು ಅದನ್ನು ಬಳಸುವುದು.
ದುರ್ಬಲತೆಗಳು ಅವುಗಳಿಗೆ TLStorm ಎಂಬ ಸಂಕೇತನಾಮವಿದೆ ಮತ್ತು APC Smart-UPS (SCL, SMX, SRT ಸರಣಿ) ಮತ್ತು SmartConnect (SMT, SMTL, SCL, ಮತ್ತು SMX ಸರಣಿ) ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ.
ತಡೆರಹಿತ ಪವರ್ ಸಪ್ಲೈ (UPS) ಸಾಧನಗಳು ಮಿಷನ್-ಕ್ರಿಟಿಕಲ್ ಸ್ವತ್ತುಗಳಿಗೆ ತುರ್ತು ಬ್ಯಾಕಪ್ ಪವರ್ ಅನ್ನು ಒದಗಿಸುತ್ತವೆ ಮತ್ತು ಡೇಟಾ ಕೇಂದ್ರಗಳು, ಕೈಗಾರಿಕಾ ಸೌಲಭ್ಯಗಳು, ಆಸ್ಪತ್ರೆಗಳು ಮತ್ತು ಹೆಚ್ಚಿನವುಗಳಲ್ಲಿ ಕಂಡುಬರುತ್ತವೆ.
APC ಸ್ಕ್ನೇಯ್ಡರ್ ಎಲೆಕ್ಟ್ರಿಕ್‌ನ ಅಂಗಸಂಸ್ಥೆಯಾಗಿದೆ ಮತ್ತು ವಿಶ್ವಾದ್ಯಂತ ಮಾರಾಟವಾದ 20 ಮಿಲಿಯನ್‌ಗಿಂತಲೂ ಹೆಚ್ಚು ಸಾಧನಗಳೊಂದಿಗೆ UPS ಸಾಧನಗಳ ಪ್ರಮುಖ ಪೂರೈಕೆದಾರರಲ್ಲಿ ಒಂದಾಗಿದೆ. ದುರ್ಬಳಕೆಯಾದರೆ, TLStorm ಎಂದು ಕರೆಯಲ್ಪಡುವ ಈ ದುರ್ಬಲತೆಗಳು ಸ್ಮಾರ್ಟ್-ಯುಪಿಎಸ್ ಸಾಧನಗಳ ಸಂಪೂರ್ಣ ರಿಮೋಟ್ ಸ್ವಾಧೀನಕ್ಕೆ ಮತ್ತು ತೀವ್ರವಾದ ಸೈಬರ್-ಭೌತಿಕ ದಾಳಿಗಳನ್ನು ನಡೆಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಅನುಮತಿಸುತ್ತದೆ. ಆರ್ಮಿಸ್ ಮಾಹಿತಿಯ ಪ್ರಕಾರ, ಸುಮಾರು 8 ಕಂಪನಿಗಳಲ್ಲಿ 10 ಕಂಪನಿಗಳು TLStorm ದುರ್ಬಲತೆಗಳಿಗೆ ಒಡ್ಡಿಕೊಂಡಿವೆ. ಈ ಬ್ಲಾಗ್ ಪೋಸ್ಟ್ ಈ ಸಂಶೋಧನೆ ಮತ್ತು ಅದರ ಪರಿಣಾಮಗಳ ಉನ್ನತ ಮಟ್ಟದ ಅವಲೋಕನವನ್ನು ಒದಗಿಸುತ್ತದೆ.
ಬ್ಲಾಗ್ ಪೋಸ್ಟ್‌ನಲ್ಲಿ ಅದನ್ನು ಉಲ್ಲೇಖಿಸಲಾಗಿದೆ TLS ಪ್ರೋಟೋಕಾಲ್‌ನ ಅಳವಡಿಕೆಯಲ್ಲಿನ ದೋಷಗಳಿಂದ ಎರಡು ದುರ್ಬಲತೆಗಳು ಉಂಟಾಗುತ್ತವೆ ಕೇಂದ್ರೀಕೃತ ಷ್ನೇಯ್ಡರ್ ಎಲೆಕ್ಟ್ರಿಕ್ ಕ್ಲೌಡ್ ಸೇವೆಯ ಮೂಲಕ ನಿರ್ವಹಿಸಲಾದ ಸಾಧನಗಳಲ್ಲಿ.
ದಿ SmartConnect ಸರಣಿಯ ಸಾಧನಗಳು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಕ್ಲೌಡ್ ಸೇವೆಗೆ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತವೆ ಸಂಪರ್ಕವನ್ನು ಪ್ರಾರಂಭಿಸುವಾಗ ಅಥವಾ ಕಳೆದುಕೊಳ್ಳುವಾಗ ಕೇಂದ್ರೀಕೃತ ಮತ್ತು ದೃಢೀಕರಿಸದ ಆಕ್ರಮಣಕಾರನು ದುರ್ಬಲತೆಗಳನ್ನು ಬಳಸಿಕೊಳ್ಳಬಹುದು ಮತ್ತು ನಿಯಂತ್ರಣವನ್ನು ಪಡೆಯಬಹುದು ಯುಪಿಎಸ್‌ಗೆ ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಕಳುಹಿಸುವ ಮೂಲಕ ಸಾಧನದಲ್ಲಿ ಒಟ್ಟು.
- CVE-2022-22805: ಒಳಬರುವ ಸಂಪರ್ಕಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ಬಳಸಲಾದ ಪ್ಯಾಕೆಟ್ ಮರುಜೋಡಣೆ ಕೋಡ್‌ನಲ್ಲಿ ಬಫರ್ ಓವರ್‌ಫ್ಲೋ. ವಿಘಟಿತ TLS ದಾಖಲೆಗಳ ಪ್ರಕ್ರಿಯೆಯ ಸಮಯದಲ್ಲಿ ಬಫರಿಂಗ್ ಡೇಟಾದಿಂದ ಸಮಸ್ಯೆ ಉಂಟಾಗುತ್ತದೆ. Mocana nanoSSL ಲೈಬ್ರರಿಯನ್ನು ಬಳಸುವಾಗ ತಪ್ಪಾದ ದೋಷ ನಿರ್ವಹಣೆಯಿಂದ ದುರ್ಬಲತೆಯ ದುರ್ಬಳಕೆಯನ್ನು ಸುಗಮಗೊಳಿಸಲಾಗುತ್ತದೆ: ದೋಷವನ್ನು ಹಿಂತಿರುಗಿಸಿದ ನಂತರ, ಸಂಪರ್ಕವನ್ನು ಮುಚ್ಚಲಾಗಿಲ್ಲ.
- CVE-2022-22806: ಸಂಪರ್ಕ ಸಮಾಲೋಚನೆಯ ಸಮಯದಲ್ಲಿ ರಾಜ್ಯದ ದೋಷದಿಂದ TLS ಸೆಶನ್ ಅನ್ನು ಸ್ಥಾಪಿಸುವಾಗ ದೃಢೀಕರಣ ಬೈಪಾಸ್. ಪ್ರಾರಂಭಿಕವಲ್ಲದ ಶೂನ್ಯ TLS ಕೀಲಿಯನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳುವುದು ಮತ್ತು Mocana nanoSSL ಲೈಬ್ರರಿಯಿಂದ ಹಿಂತಿರುಗಿದ ದೋಷ ಕೋಡ್ ಅನ್ನು ನಿರ್ಲಕ್ಷಿಸುವುದು ಖಾಲಿ ಕೀಲಿಯೊಂದಿಗೆ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಸ್ವೀಕರಿಸಿದಾಗ ಪರಿಶೀಲನೆ ಮತ್ತು ಕೀ ವಿನಿಮಯದ ಹಂತವನ್ನು ಹಾದುಹೋಗದೆಯೇ Schneider ಎಲೆಕ್ಟ್ರಿಕ್ ಸರ್ವರ್ ಎಂದು ಅನುಕರಿಸಲು ಸಾಧ್ಯವಾಯಿತು.
ಮೂರನೇ ದುರ್ಬಲತೆ (ಸಿವಿಇ -2022-0715) ಫರ್ಮ್‌ವೇರ್ ಪರಿಶೀಲನೆಯ ತಪ್ಪಾದ ಅನುಷ್ಠಾನದೊಂದಿಗೆ ಸಂಬಂಧಿಸಿದೆ ಅಪ್‌ಡೇಟ್‌ಗಾಗಿ ಡೌನ್‌ಲೋಡ್ ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಅನ್ನು ಪರಿಶೀಲಿಸದೆಯೇ ಮಾರ್ಪಡಿಸಿದ ಫರ್ಮ್‌ವೇರ್ ಅನ್ನು ಸ್ಥಾಪಿಸಲು ಆಕ್ರಮಣಕಾರರಿಗೆ ಅನುಮತಿಸುತ್ತದೆ (ಫರ್ಮ್‌ವೇರ್‌ಗಾಗಿ ಡಿಜಿಟಲ್ ಸಹಿಯನ್ನು ಪರಿಶೀಲಿಸಲಾಗಿಲ್ಲ, ಆದರೆ ಫರ್ಮ್‌ವೇರ್‌ನಲ್ಲಿ ಪೂರ್ವನಿರ್ಧರಿತ ಕೀಲಿಯೊಂದಿಗೆ ಸಮ್ಮಿತೀಯ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಅನ್ನು ಮಾತ್ರ ಬಳಸಲಾಗುತ್ತದೆ).
CVE-2022-22805 ದುರ್ಬಲತೆಯೊಂದಿಗೆ ಸೇರಿಕೊಂಡು, ಆಕ್ರಮಣಕಾರರು ಫರ್ಮ್‌ವೇರ್ ಅನ್ನು ಬದಲಾಯಿಸಬಹುದು ಷ್ನೇಯ್ಡರ್ ಎಲೆಕ್ಟ್ರಿಕ್ ಕ್ಲೌಡ್ ಸೇವೆಯಂತೆ ಅಥವಾ ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ನಿಂದ ನವೀಕರಣವನ್ನು ಪ್ರಾರಂಭಿಸುವ ಮೂಲಕ ದೂರದಿಂದಲೇ.
ಸೈಕ್ಲೋಪ್ಸ್ ಬ್ಲಿಂಕ್ ಮಾಲ್‌ವೇರ್‌ನ ವಿಶ್ಲೇಷಣೆಯಲ್ಲಿ ಇತ್ತೀಚೆಗೆ ವಿವರಿಸಿದಂತೆ ಫರ್ಮ್‌ವೇರ್ ಅಪ್‌ಡೇಟ್ ಕಾರ್ಯವಿಧಾನಗಳಲ್ಲಿನ ನ್ಯೂನತೆಗಳನ್ನು ದುರುಪಯೋಗಪಡಿಸಿಕೊಳ್ಳುವುದು ಎಪಿಟಿಗಳಿಗೆ ಪ್ರಮಾಣಿತ ಅಭ್ಯಾಸವಾಗುತ್ತಿದೆ ಮತ್ತು ಎಂಬೆಡೆಡ್ ಡಿವೈಸ್ ಫರ್ಮ್‌ವೇರ್ ಅನ್ನು ಮಿಸ್‌ಸೈನಿಂಗ್ ಮಾಡುವುದು ಹಲವಾರು ಸಿಸ್ಟಮ್‌ಗಳಲ್ಲಿ ಪುನರಾವರ್ತಿತ ದೋಷವಾಗಿದೆ. ಸ್ವಿಸ್ಲಾಗ್ PTS ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ (PwnedPiper, CVE-2021-37160) ಆರ್ಮಿಸ್ ಕಂಡುಹಿಡಿದ ಹಿಂದಿನ ದುರ್ಬಲತೆಯು ಇದೇ ರೀತಿಯ ದೋಷದ ಫಲಿತಾಂಶವಾಗಿದೆ.
ಯುಪಿಎಸ್‌ಗೆ ಪ್ರವೇಶವನ್ನು ಪಡೆದ ನಂತರ, ದಾಳಿಕೋರನು ಸಾಧನದಲ್ಲಿ ಹಿಂಬಾಗಿಲು ಅಥವಾ ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್ ಅನ್ನು ನೆಡಬಹುದು, ಹಾಗೆಯೇ ವಿಧ್ವಂಸಕ ಕೃತ್ಯಗಳನ್ನು ಮಾಡಬಹುದು ಮತ್ತು ಪ್ರಮುಖ ಗ್ರಾಹಕರ ಶಕ್ತಿಯನ್ನು ಆಫ್ ಮಾಡಬಹುದು, ಉದಾಹರಣೆಗೆ, ಬ್ಯಾಂಕ್‌ಗಳಲ್ಲಿ ವೀಡಿಯೊ ಕಣ್ಗಾವಲು ವ್ಯವಸ್ಥೆಗಳ ಶಕ್ತಿಯನ್ನು ಆಫ್ ಮಾಡುವುದು ಅಥವಾ ಜೀವನ ಬೆಂಬಲ .
ಷ್ನೇಯ್ಡರ್ ಎಲೆಕ್ಟ್ರಿಕ್ ಸಮಸ್ಯೆಗಳನ್ನು ಪರಿಹರಿಸಲು ಪ್ಯಾಚ್‌ಗಳನ್ನು ಸಿದ್ಧಪಡಿಸಿದೆ ಮತ್ತು ಫರ್ಮ್‌ವೇರ್ ನವೀಕರಣವನ್ನು ಸಹ ಸಿದ್ಧಪಡಿಸುತ್ತಿದೆ. ರಾಜಿ ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಲು, NMC (ನೆಟ್‌ವರ್ಕ್ ಮ್ಯಾನೇಜ್‌ಮೆಂಟ್ ಕಾರ್ಡ್) ಹೊಂದಿರುವ ಸಾಧನಗಳಲ್ಲಿ ಡೀಫಾಲ್ಟ್ ಪಾಸ್‌ವರ್ಡ್ (“apc”) ಅನ್ನು ಬದಲಾಯಿಸಲು ಮತ್ತು ಡಿಜಿಟಲ್ ಸಹಿ ಮಾಡಿದ SSL ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸ್ಥಾಪಿಸಲು ಸಹ ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ, ಹಾಗೆಯೇ ಫೈರ್‌ವಾಲ್‌ನಲ್ಲಿ ಮಾತ್ರ UPS ಗೆ ಪ್ರವೇಶವನ್ನು ನಿರ್ಬಂಧಿಸಿ ಷ್ನೇಯ್ಡರ್ ಎಲೆಕ್ಟ್ರಿಕ್ ಕ್ಲೌಡ್‌ನಲ್ಲಿನ ವಿಳಾಸಗಳಿಗೆ.
ಅಂತಿಮವಾಗಿ ಇದರ ಬಗ್ಗೆ ಇನ್ನಷ್ಟು ತಿಳಿದುಕೊಳ್ಳಲು ನೀವು ಆಸಕ್ತಿ ಹೊಂದಿದ್ದರೆ, ನೀವು ವಿವರಗಳನ್ನು ಪರಿಶೀಲಿಸಬಹುದು ಕೆಳಗಿನ ಲಿಂಕ್.