Недостатки продуктов управления питанием могут подвергнуть центры обработки данных разрушительным атакам и шпионажу

Уязвимости в продуктах управления питанием CyberPower и Dataprobe могут быть использованы при атаках на центры обработки данных, в том числе для нанесения ущерба и шпионажа.

Флипборд

Реддит

Пинтерест

Электронная почта

По данным компании Trellix, занимающейся обнаружением и реагированием на угрозы, уязвимости в продуктах управления питанием, созданных CyberPower и Dataprobe, могут быть использованы для атак, направленных на центры обработки данных, позволяя злоумышленникам шпионить за организациями или наносить ущерб.

Исследователи Trellix проанализировали программное обеспечение для управления питанием центра обработки данных PowerPanel Enterprise от CyberPower и блок распределения питания iBoot (PDU) от Dataprobe. Всего они обнаружили девять уязвимостей, в том числе позволяющих злоумышленнику получить полный доступ к целевой системе.

Предыдущие исследования показали, что многие PDU, включая продукт iBoot, часто доступны в Интернете, что позволяет проводить удаленные атаки на организации, использующие их.

В продукте CyberPower PowerPanel Enterprise исследователи Trellix обнаружили четыре уязвимости, включая жестко запрограммированные учетные данные, обход аутентификации и проблемы с внедрением команд ОС.

В Dataprobe iBoot PDU они выявили пять уязвимостей, включая внедрение команд ОС, обход аутентификации, жестко закодированные учетные данные и проблемы отказа в обслуживании (DoS).

В реальных атаках злоумышленники могут использовать эти типы уязвимостей, чтобы отключить питание подключенных устройств и вызвать серьезные сбои.

«Злоумышленник может вызвать серьезные сбои в работе на несколько дней с помощью простого щелчка выключателя в десятках скомпрометированных центров обработки данных», — предупредил Trellix.

«Кроме того, манипуляции с управлением питанием могут быть использованы для повреждения самих аппаратных устройств, что сделает их гораздо менее эффективными, а то и вообще неработоспособными», — добавили в компании, отметив, что это может привести к финансовым потерям в тысячи или десятки тысяч долларов за каждую минуту. В дата-центре отключено электричество.

Помимо прямого причинения ущерба или сбоев в работе, хакеры могут установить бэкдоры на оборудование центра обработки данных и использовать их для компрометации других систем и устройств.

«В некоторых центрах обработки данных размещены тысячи серверов и подключены к сотням различных бизнес-приложений. Злоумышленники могут постепенно поставить под угрозу как центр обработки данных, так и подключенные к нему бизнес-сети», — заявил Трелликс.

Скомпрометированные системы управления питанием центров обработки данных также могут быть использованы спонсируемыми государством злоумышленниками для проведения кибершпионажа.

CyberPower и Dataprobe были уведомлены, и оба поставщика выпустили обновления для исправления уязвимостей. Помимо установки исправлений, организациям рекомендуется обеспечить, чтобы их системы не были подключены к Интернету.

В Trellix заявили, что им не известно о каких-либо злонамеренных атаках, использующих эти уязвимости.

Связанный: Использование уязвимости солнечной энергии может подвергнуть энергетические организации атакам

Связанный: Охранная фирма обнаружила более 130 тысяч опубликованных в Интернете фотоэлектрических диагностических систем

Эдуард Ковач (@EduardKovacs) — главный редактор SecurityWeek. Он проработал учителем информационных технологий в средней школе в течение двух лет, прежде чем начал карьеру в журналистике в качестве репортера новостей безопасности Softpedia. Эдуард имеет степень бакалавра промышленной информатики и степень магистра компьютерных технологий, применяемых в электротехнике.

Подпишитесь на брифинг SecurityWeek по электронной почте, чтобы быть в курсе последних угроз, тенденций и технологий, а также получать полезные колонки от отраслевых экспертов.

Присоединяйтесь к экспертам по безопасности, которые обсуждают неиспользованный потенциал ZTNA как по снижению киберрисков, так и по расширению возможностей бизнеса.

Присоединяйтесь к вебинару Microsoft и Finite State, на котором будет представлена новая стратегия обеспечения безопасности цепочки поставок программного обеспечения.

Когда правила раскрытия информации о киберинцидентах SEC вступят в силу, организации будут вынуждены серьезно задуматься о предоставлении места за столом переговоров руководителям служб безопасности. (Марк Соломон)