2022年2月29日，美國網絡安全和基礎設施安全局 (CISA) 和能源部 (DoE) 聯合發布了關于減輕針對聯網的不間斷電源 (UPS) 設備的攻擊指南。同時，CISA和DoE警告組織和企業，要小心攻擊者使用默認用戶名和密碼對聯網的不間斷電源 (UPS) 設備進行攻擊。

眾所周知，UPS是一種含有儲能裝置的不間斷電源，主要用于給部分對電源穩定性要求較高的設備，提供不間斷的電源。當出現斷電時，當市電輸入正常時，UPS立即將電池的直流電能，通過逆變器切換轉換的方法向負載繼續供應220V交流電，使負載維持正常工作并保護負載軟、硬件不受損壞。

而針對UPS設備攻擊的最終目的，是為了對企業和組織中那些依賴電源穩定性的物理設備和 IT 資產進行極端攻擊。

因此，指南建議組織立即檢查所有UPS和類似系統，并確保無法從互聯網訪問它們。在必須在線訪問UPS設備的情況下，CISA和DoE建議組織實施以下措施：

• 確保可以通過虛擬專用網絡訪問設備；
• 強制執行多因素身份驗證；
• 根據美國國家標準與技術研究院指南使用強密碼或密碼短語；

此外，CISA還建議組織立即自查目前使用中的UPS設備憑據是否仍為出廠默認設置，這將會大大增加黑客攻擊的成功率。指南中還發布了企業如何應對針對UPS設備的攻擊，以及事件快速應急響應的最佳實踐等。

數據中心機房的噩夢

CISA和DoE之所以聯合發布警告，很大程度上是因為此前Armis公司研究人員在APC Smart-UPS設備中發現了三個關鍵的零日漏洞，黑客利用這三個漏洞可接管 Smart-UPS設備，并發起網絡攻擊，并將會對極度依賴電源的數據中心的機房造成難以言表的損失。

更糟糕的是，施耐德電氣子公司APC是UPS設備供應巨頭之一，在全球銷售了超過2000萬臺設備，被廣泛應用于醫療、零售、工業等部門。如今這些設備全部都處于黑客的攻擊范圍之內，購買了這些設備的企業也面臨著巨大的網絡攻擊風險。

這三個零日漏洞可以通過未經身份驗證的網絡數據包觸發，無需任何用戶交互，危害性極大，以下是其具體信息：

• CVE-2022-22805(CVSS分數：9.0)——TLS緩沖區溢出；
• CVE-2022-22806(CVSS分數：9.0)——TLS身份驗證繞過；
• CVE-2022-0715(CVSS評分：8.9)–可通過網絡更新的未簽名固件升級。

其中，前兩個漏洞(CVE-2022-22805和CVE-2022-22806)存在于TLS(傳輸層安全)協議的實施中，該協議將具有“SmartConnect”功能的Smart-UPS設備連接到施耐德電氣管理云。

第三個漏洞(CVE-2022-0715)，與“幾乎所有APC Smart-UPS設備”的固件有關，該固件未經過加密簽名，安裝在系統上時無法驗證其真實性。雖然固件是加密的(對稱的)，但它缺乏加密簽名，允許攻擊者創建它的惡意版本并將其作為更新交付給目標UPS設備以實現遠程代碼執行(RCE)。

2022年3月8日，施耐德電氣表示，這些漏洞被歸類為“嚴重”和“高嚴重性”，影響 SMT、SMC、SCL、SMX、SRT和SMTL系列產品。該公司已開始發布包含針對這些漏洞的補丁的固件更新。對于沒有固件補丁的產品，施耐德提供了一系列緩解措施來降低被利用的風險。

參考來源：https://securityaffairs.co/wordpress/129620/security/cisa-doe-warn-attacks-ups.html