Armisは3月8日(米国時間)、「TLStorm - Critical vulnerabilities in a TLS library lead to complete pwnage of a popular Cloud-connected UPS」において、Schneider Electricの無停電電源装置「APC Smart-UPS」に遠隔から不正アクセスおよび不正制御を可能とする複数の脆弱性が存在すると伝えた。

この一連の脆弱性は「TLStorm」と呼ばれている。TLStormを構成する脆弱性のうち2つは深刻度が緊急(Critical)と評価されており、物理的なサイバー攻撃を実行可能なことから危険性が高いと分析されている。

  • TLStorm - Critical vulnerabilities in a TLS library lead to complete pwnage of a popular Cloud-connected UPS

    TLStorm - Critical vulnerabilities in a TLS library lead to complete pwnage of a popular Cloud-connected UPS

TLStormを悪用することで、認証されていないネットワークパケットを使ってユーザーの操作を介することなく、無停電電源装置に対してリモートコード実行を仕掛けることができるという。

報告書の中で研究者らは、この脆弱性を悪用してソフトウェアによる保護を無効化し、電流スパイクを何度も繰り返して直流リンクコンデンサを150℃まで加熱させることができたと指摘。結果的にコンデンサを破壊して無停電電源装置を電解質ガスで充満させ、装置にダメージを与えることができたと説明している。

報告書ではさらに、ファームウェアアップグレードのメカニズムを悪用することで、標的となる無停電電源装置に対して悪意あるアップデートを行うことが可能と指摘。このメカニズムの悪用により、サイバー犯罪者は永続的な接続を確立し、さまざまなサイバー攻撃が実行できるという。

無停電電源装置はサーバのみならず、医療施設や産業システムなどミッションクリティカルな環境において緊急時の一時的なバックアップ電源などの目的で利用されている。報告書はこれまでに確認された影響を受けると見られるデバイスは医療、小売業、産業界、政府などの分野で合計2000万台以上に上ると推計している。

今回悪用の可能性が指摘された脆弱性はすでにパッチが公開されていたり、緩和策が公開されたりしている。該当する製品を使用している場合、メーカーの提供する情報などに基づいて適切に対処することが望まれる。無停電電源装置は一度運用がはじまるとアップデートが実施されないことが多いデバイスの一つだが、今回の報告はこうしたデバイスがサイバー攻撃によって物理的に危険な状況に追い込まれる危険性を示しており注意が必要。

今後、今回のと同類の問題がほかのデバイスで発見される可能性がある。今後のセキュリティ情報に注目するとともに、必要に応じて迅速に対処していくことが望まれる。