CISA と Claroty は、人気のある配電ユニット製品の深刻な脆弱性を強調しています

サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は、Dataprobe の iBoot 配電ユニット (PDU) で見つかったいくつかの脆弱性について警告を発表し、その一部はハッカーがリモートからデバイスを悪用できる可能性があります。

Dataprobe は 1969 年に設立され、航空管制やビットコインキオスクなどの重要なネットワークにリモートサイト管理ツールを提供しています。 PDU は、ラックマウント機器の近くに電源を配置する必要がある産業環境、データセンター、その他の場所でよく見られます。

バグを発見したサイバーセキュリティ企業クラロティの研究者らによると、一部の PDU はリモートでアクセスして管理できるため、「デバイスへの電力供給が遮断され、その後接続されているすべての電源が遮断され、重要なサービスが腕を伸ばせる範囲内」にあるという。

DataprobeのCEO、David Weiss氏はThe Recordに対し、iBoot-PDU製品ファミリーは2016年からサービスを開始しており、デジタルサイネージ、電気通信、リモートサイト管理などのタスクのために業界全体で数千台が導入されていると語った。

iBoot-PDU テクノロジーは、OEM メーカーにも提供され、製品内でのリモート電源管理の展開を支援します。 Dataprobe iBoot-PDU はユーザーにリアルタイム監視機能とリモートアクセスを提供し、ユーザーは内蔵 Web インターフェイスまたは Telnet や SNMP などのプロトコルを使用してアウトレットをリモート制御できます。

しかし、Claroty は製品に 7 つの脆弱性を発見し、CISA は、そのうち 2 つのバグ (CVE-2022-3183 と CVE-2022-3184) の CVSS スコアが 9.8 であると発表しました。残りのスコアは 8.6 から 5.3 の範囲でした。

ワイス氏は、いくつかのバグは最近のアップデートでパッチされており、その他は「顧客が適切に設定し、不要な機能を無効にすることで」解決されたと述べた。

「クラロティの報告書には、私たちが異議を唱える内容は何もありません。私たちは第三者による分析を高く評価し、継続的に改善し、変化するセキュリティ環境に対応する必要性を非常に真剣に受け止めています」と同氏は述べた。「私たちはクラロティと提携しており、今後もクラロティや他のサードパーティ組織と協力してセキュリティの向上に取り組んでいきます。」

同氏は、問題の一部は「製品で使用されているオープンソースコンポーネントに固有のもの」であるが、その他の問題は「現在検討中であり、当社のエンジニアリングチームが対応策を開発中」であると付け加えた。

同氏はどの説明がどの脆弱性に当てはまるかについては説明しなかったが、Claroty氏によると、発見されたすべての問題はDataprobeバージョン1.42.06162022で適切に対処されたという。

また、Dataprobe は、これらの脆弱性の一部に対する緩和策として、SNMP、Telnet、HTTP を使用していない場合は無効にすることをユーザーに推奨していることも指摘しました。

CISA によってバグ発見の功績が認められている Claroty のセキュリティ研究者 Uri Katz 氏はインタビューで、彼のチームはクラウドプラットフォームの脆弱性を発見することで、たとえファイアウォールの内側にあるとしてもすべての iBoot-PDU デバイスを暴露することができたと語った。

Web インターフェースで見つかった脆弱性の 1 つにより、不正なコードが実行される可能性がありました。

「これは、たとえインターネット上に直接公開されていなくても、攻撃者が内部ネットワーク内に足場を築き、iBoot-PDU デバイスをリモートで悪用できる可能性があるため、これは特に憂慮すべきことです」とカッツ氏は述べています。

カッツ氏は、インターネットスキャン会社Censysが2021年に発表したレポートで、配電を遠隔管理するためにインターネット経由でアクセス可能なユニットが2,500台以上使用されていることが判明したと説明した。

レポート同社によると、これらのデバイスの 31% は Dataprobe 製であり、その割合には、クラウドサービスによって管理されているファイアウォールの内側にあるデバイスは含まれていませんでした。

「したがって、その数字はおそらくはるかに高いでしょう」とカッツ氏は指摘した。「これらの脆弱性が悪用されると、iBoot-PDU を搭載したデータセンターに設置されたラックマウント型サーバーやネットワーク機器をシャットダウンする可能性があります。」

Claroty は、クラウドに接続された iBoot-PDU デバイスを検索する方法も開発し、利用可能な攻撃対象領域を接続されているすべてのデバイスに拡大しました。