電源管理製品の欠陥により、データセンターが有害な攻撃やスパイ行為にさらされる可能性がある

CyberPower および Dataprobe の電源管理製品の脆弱性は、損害の発生やスパイ行為などのデータセンター攻撃に悪用される可能性があります。

による

フリップボード

レディット

ピンタレスト

ワッツアップ

Eメール

脅威検出および対応会社 Trellix によると、CyberPower と Dataprobe が製造する電源管理製品の脆弱性は、データセンターを狙った攻撃に悪用される可能性があり、攻撃者が組織をスパイしたり損害を与えたりする可能性があります。

Trellix の研究者は、CyberPower の PowerPanel Enterprise データセンター電源管理ソフトウェアと Dataprobe の iBoot 配電ユニット (PDU) を分析しました。彼らは、攻撃者が標的のシステムに完全にアクセスできる脆弱性を含む、合計 9 つの脆弱性を発見しました。

以前の調査では、iBoot 製品を含む多くの PDU がインターネットに公開されることが多く、それらを使用している組織に対してリモート攻撃を開始する可能性があることが示されています。

Trellix の研究者は、CyberPower PowerPanel Enterprise 製品で、ハードコードされた資格情報、認証バイパス、OS コマンドインジェクションの問題を含む 4 つの脆弱性を発見しました。

Dataprobe iBoot PDU では、OS コマンドインジェクション、認証バイパス、ハードコードされた資格情報、サービス拒否 (DoS) の問題を含む 5 つの脆弱性を特定しました。

実際の攻撃では、脅威アクターがこの種の脆弱性を悪用して、接続されているデバイスへの電力を遮断し、重大な混乱を引き起こす可能性があります。

Trellix 氏は、「攻撃者は、侵害された数十のデータセンターで単純な『スイッチの切り替え』だけで、一度に数日間にわたって重大な混乱を引き起こす可能性があります。」と警告しました。

「さらに、電源管理の操作は、ハードウェアデバイス自体に損傷を与えるために使用される可能性があり、動作不能ではないにしても、効率を大幅に低下させます。」と付け加え、これにより毎分数千ドルまたは数万ドルの経済的損失が発生する可能性があると指摘しました。データセンターの電源が落ちています。

ハッカーは、損害や混乱を直接引き起こすだけでなく、データセンターの機器にバックドアを仕掛け、それを使って他のシステムやデバイスを侵害する可能性があります。

「一部のデータセンターは数千台のサーバーをホストし、数百ものさまざまなビジネスアプリケーションに接続しています。悪意のある攻撃者は、データセンターとそれに接続されているビジネスネットワークの両方をゆっくりと侵害する可能性があります」と Trellix 氏は述べています。

侵害されたデータセンターの電源管理システムは、国家支援による攻撃者によってサイバースパイ活動を実行するために悪用される可能性もあります。

CyberPower と Dataprobe は通知を受けており、両ベンダーは脆弱性を修正するためのアップデートをリリースしました。パッチをインストールすることに加えて、組織はシステムがインターネットに公開されないようにすることをお勧めします。

Trellixは、これらの脆弱性を悪用した悪意のある攻撃は認識していないと述べた。

関連している: 太陽光発電製品の脆弱性が悪用され、エネルギー企業が攻撃にさらされる可能性がある

関連している: セキュリティ会社がインターネットに公開された 13 万台以上の太陽光発電診断システムを発見

Eduard Kovacs (@EduardKovacs) は、SecurityWeek の編集長です。彼は、Softpedia のセキュリティニュース記者としてジャーナリズムのキャリアを開始する前に、高校の IT 教師として 2 年間働いていました。エデュアルドは産業情報学の学士号と、電気工学に適用されるコンピュータ技術の修士号を取得しています。

SecurityWeek 電子メールブリーフィングを購読して、業界の専門家による洞察力に富んだコラムとともに、最新の脅威、トレンド、テクノロジーに関する最新情報を入手してください。

セキュリティの専門家と一緒に、サイバーリスクの軽減とビジネスの強化の両方を実現する ZTNA の未開発の可能性について話し合います。

ソフトウェアサプライチェーンを保護するための新しい戦略を紹介するウェビナーに Microsoft と Finite State にご参加ください。

SEC のサイバーインシデント開示規則が施行されると、組織はセキュリティリーダーにテーブルの席を与えることを真剣に検討せざるを得なくなるでしょう。(Marc Solomon)