CVE-2023-28343

Altenergy Power Control Software (la Unidad de Comunicación de Energía de APsystems) tiene una inyección de comandos del sistema operativo: los metacaracteres de shell en el parámetro timezone de index.php/management/set_timezone fluyen a través de set_timezone en el modelo de gestión hacia un shell. Sin autenticar y remota, una solicitud diseñada produce ejecución de comandos en el dispositivo, control total de una unidad de comunicación de energía sin inicio de sesión requerido.

Esto se ubica en la frontera IT/OT en despliegues de energía solar, y la inyección de comandos sin autenticar en equipos de energía accesibles desde internet es exactamente lo que las botnets oportunistas y, cada vez más, los actores interesados en interrumpir los recursos energéticos distribuidos van buscando. El tráfico de prueba de concepto para una inyección limpia, sin autenticar y de una sola solicitud como esta tiende a aparecer rápido y a golpear cada unidad accesible indiscriminadamente. El 9.8 está plenamente merecido.

Nuestro factor rector es la accesibilidad desde internet. Rastrearíamos cualquier ECU de APsystems expuesta a redes no confiables, sacaríamos la interfaz de gestión de la internet pública, y segmentaríamos estas unidades lejos tanto de la TI como de la internet en general. Como la carga útil es un parámetro específico en una ruta específica, una regla de parcheo virtual que bloquee los metacaracteres hacia set_timezone es un paliativo viable mientras se resuelve la remediación de firmware en plazos de OT.