3 errores críticos de RCE amenazan los paneles solares industriales

Cientos de sistemas de monitoreo de energía solar son vulnerables a tres vulnerabilidades críticas RCE (Ejecución Remota de Código). Los hackers detrás de eso Red de bots Mirai E incluso los aficionados ya han comenzado a cosechar los beneficios, y otros seguirán, predicen los expertos.

Investigadores de la Unidad 42 de Palo Alto Networks han descubierto esto antes que la botnet Mirai se está propagando CVE-2022-29303, un error de inyección de comandos en el software de la serie SolarView desarrollado por el fabricante Contec. Según el sitio web de Contec, SolarView se ha implementado en más de 30.000 plantas de energía solar.

La empresa de inteligencia de vulnerabilidades VulnCheck señaló esto el miércoles en una entrada de blog que CVE-2022-29303 es uno de ellos tres vulnerabilidades críticas en SolarView, y más que solo los piratas informáticos de Mirai están apuntando a ellos.

“El peor de los casos más probable es que el equipo que se está monitoreando se pierda y algo falle”, explica Mike Parkin, ingeniero técnico sénior de Vulcan Cyber. Sin embargo, también es teóricamente posible que «el atacante pueda explotar el control del sistema de vigilancia comprometido para causar un daño mayor o penetrar más profundamente en el entorno».

Tres agujeros del tamaño de una capa de ozono en SolarView

CVE-2022-29303 proviene de un punto final específico en el servidor web de SolarView, confi_mail.php, que no desinfecta adecuadamente los datos de entrada del usuario, lo que permite la violación remota. En el mes de su lanzamiento, el error llamó la atención. bloguero de seguridad, investigadory un YouTuber que demostró el exploit en una demostración de video todavía accesible al público. Pero no fue el único problema dentro de SolarView.

Para uno, hay CVE-2023-23333, una vulnerabilidad de inyección de comandos completamente similar. Esto afecta a un punto final diferente, downloader.php, y se anunció por primera vez en febrero. Y ahí está CVE-2022-44354, publicado a finales del año pasado. CVE-2022-44354 es una vulnerabilidad de carga de archivos sin restricciones que afecta a otro punto final y permite a los atacantes cargar shells web de PHP en los sistemas de destino.

VulnCheck descubrió que ambos puntos finales, como confi_mail.php, «parecen generar visitas de hosts maliciosos en GreyNoise, lo que significa que es probable que también sean explotados activamente hasta cierto punto».

A las tres vulnerabilidades se les asignó una puntuación CVSS «crítica» de 9,8 (sobre 10).

¿Qué tan grandes son los errores de SolarView para un problema cibernético?

Las instancias solo de Internet de SolarView corren el riesgo de verse comprometidas de forma remota. Una búsqueda rápida de Shodan realizada por VulnCheck arrojó 615 casos abiertos relacionados con la web este mes.

Aquí es donde, dice Parkin, comienzan los dolores de cabeza innecesarios. “La mayoría de estas cosas están diseñadas para operar dentro «En un entorno, no deberían necesitar acceso a Internet abierto para la mayoría de los casos de uso», dice. Incluso si la conectividad remota es absolutamente necesaria, existen soluciones que lo hacen posible. Proteger los sistemas IoT de las partes espeluznantes de Internet en general, agrega. «Puede colocarlos a todos en sus propias redes de área local virtual (VLAN) en sus propios espacios de direcciones IP y restringir el acceso a ellos a algunas puertas de enlace o aplicaciones específicas, etc.».

Los operadores pueden arriesgarse a permanecer en línea si sus sistemas tienen al menos parches. Sin embargo, cabe destacar que 425 de estos sistemas SolarView conectados a Internet (más de dos tercios de todos los sistemas) estaban ejecutando versiones del software que carecían del parche requerido.

Al menos cuando se trata de sistemas críticos, eso podría ser comprensible. “Los dispositivos de IoT y tecnología operativa a menudo son mucho más difíciles de actualizar en comparación con una PC o un dispositivo móvil típicos. A veces, la administración tiene que optar por correr el riesgo en lugar de desconectar sus sistemas el tiempo suficiente para instalar parches de seguridad», dice Parkin.

Los tres CVE se parchearon en SolarView versión 8.00.