CVE-2023-28343

O Altenergy Power Control Software (a Unidade de Comunicação de Energia da APsystems) tem uma injeção de comandos de SO: metacaracteres de shell no parâmetro timezone de index.php/management/set_timezone fluem por set_timezone no management model até um shell. Não autenticado e remoto, uma requisição criada resulta em execução de comandos no dispositivo, controle total de uma unidade de comunicação de energia sem login requerido.

Isto fica na fronteira IT/OT em implantações de energia solar, e injeção de comandos não autenticada em equipamentos de energia acessíveis pela internet é exatamente o que botnets oportunistas e, cada vez mais, atores interessados em interromper recursos energéticos distribuídos vão procurar. Tráfego de prova de conceito para uma injeção limpa, não autenticada e de uma requisição como esta tende a aparecer rápido e atingir toda unidade acessível indiscriminadamente. O 9.8 é plenamente merecido.

Nosso fator de controle é a acessibilidade pela internet. Caçaríamos qualquer ECU da APsystems exposta a redes não confiáveis, tiraríamos a interface de gerenciamento da internet pública e segmentaríamos essas unidades para longe tanto da TI quanto da internet mais ampla. Como o payload é um parâmetro específico em um caminho específico, uma regra de patch virtual bloqueando metacaracteres em set_timezone é um paliativo viável enquanto a remediação de firmware é resolvida em prazos de OT.