サイバーフィジカルシステムセキュリティ企業Clarotyの研究者が、データセンターで広く導入されているHVACおよびUPS製品2種類に複数の脆弱性を発見しました。これらを悪用することで、攻撃者が破壊的なリモート攻撃を仕掛けられることが明らかになっています。
研究者たちは、Vertiv製の無停電電源装置（UPS）にネットワークインターフェースを提供するよう設計されたネットワークカードを標的に調査を実施しました。
Clarotyは「UPSは停電時の運用継続に欠かせない存在であり、電圧の急激な変動からシステムを保護するとともに、安全なシャットダウンを可能にするため、データセンターで広く活用されています」と説明しています。
同社の研究者は、UPS機器にデフォルトのWebインターフェースを提供するVertivのネットワークカードに、認証バイパスの脆弱性とリモートコード実行（RCE）の脆弱性という2件の問題が存在することを突き止めました。
この2つの脆弱性を組み合わせることで、攻撃者は標的のUPSにリモートからアクセスし、任意のコードを実行できるようになります。その結果、深刻な業務障害を引き起こす可能性があります。
Clarotyは「これらの脆弱性が特に懸念されるのは、その背景にあります。大規模なデータセンターでは、ほぼすべての計算機器が電源障害時のオンライン維持にUPSを頼っています。UPS通信モジュールに弱点があれば、それらが保護する機器に直接影響を及ぼしかねません」と指摘しています。
また、Clarotyの研究者はデータセンターや世界中のさまざまな重要環境で広く使用されているTrane Tracer SC+ HVACコントローラーについても分析を行いました。
その結果、認証バイパス、リモートコード実行、DoS（サービス妨害）、機密情報の漏洩といった複数の欠陥が発見されました。
Clarotyは「これらの脆弱性は悪用が非常に容易であり、武器化された場合、認証なしでのリモートコード実行と広範な機密情報漏洩が可能になります。実際の攻撃シナリオでは、外部から重要なビルディング管理システムを完全に掌握されるおそれがあります」と述べています。
同社はさらに「データセンターのサーバーは膨大な熱を発生させており、HVACの障害は単なる快適性の問題にとどまりません。熱によるシャットダウンの誘発、高価なハードウェアの損傷、大規模なサービス中断、そして数百万ドル規模の損失につながる可能性があります」と警告しています。
Clarotyは調査結果をTranceおよびVertivに報告し、両社と協力して脆弱性のパッチ適用に取り組みました。
