2022-03-09 Wed

1. UPS(uninterruptible power supply) 제로데이 취약점으로 RCE 및 장치 화재 가능

Reference: https://www.zdnet.com/article/ups-flaws-allow-for-remote-code-execution-and-remote-fire-based-interruptions/ / https://www.prnewswire.com/news-releases/armis-finds-three-critical-zero-day-vulnerabilities-in-apc-smart-ups-devices-dubbed-tlstorm-exposing-more-than-20-million-enterprise-devices-301497137.html

APC에서 판매하는 Smart-UPS 장비에서 세가지 취약점이 확인되었다.

1. CVE-2022-22805: TLS 버퍼 오버플로우 - 패킷 재조립 시 발생하는 메모리 손상
2. CVE-2022-22806: TLS 인증 우회 - TLS handshake의 state confusion이 인증 우회로 이어져 네트워크 펌웨어 업그레이드를 사용한 RCE로 이어짐
3. CVE-2022-0715: 네트워크(RCE)를 통해 서명되지 않은 펌웨어 업그레이드

해당 취약점들을 악용하여 TLStorm 으로 불리는 공격이 가능하며, 공격자가 Smart-UPS 장비 및 연결된 자산을 비활성화 하거나 중단, 및 파괴(물리적)가 가능해진다.

이러한 취약점들은 잘못된 TLS 구현에서 시작되었으며, TLS 공격 벡터는 인터넷을 통해 인입될 수 있기에 내부 침입을 위한 게이트웨이로 사용될 수 있다. 또한 UPS 펌웨어 원격 업그레이드를 통해 UPS를 랜섭웨어 또는 여러 악의적인 작업의 시작점으로 사용할 수 있다.

Mocana nanoSSL 라이브러리에서 권장하는대로 연결을 닫는 것 보다 더 빠른 TLS connection 에러가 있는 경우, APC는 몇몇 에러를 무시하여 연결은 열려있고 라이브러리는 더이상 처리하지 않는 상태가 된다. 이렇게 nanoSSL 라이브러리 에러를 무시하면 UPS는 TLS 키를 초기화되지 않은 상태로 캐싱하고 공격자가 TLS resumption 기능을 사용할 때 캐싱된 초기화되지 않은 키 모두를 가져와 공격자는 정상 서버인 것 처럼 장치와 통신할 수 있게 된다. 검증된 서버로 보이기에 공격자는 펌웨어 업그레이드를 실행하고 UPS 장비를 통해 RCE가 가능하다.

이러한 RCE를 이용하여 소프트웨어 보호를 우회하고 DC link capacitor가 150도 까지 오르게 하여 손상을 입힐 수 있다.