Las fallas en los productos de administración de energía pueden exponer los centros de datos a ataques dañinos y espionaje

Las vulnerabilidades en los productos de administración de energía CyberPower y Dataprobe podrían explotarse en ataques a centros de datos, incluso para causar daños y espiar.

Por

Flipboard

Correo electrónico

Las vulnerabilidades en los productos de administración de energía fabricados por CyberPower y Dataprobe podrían explotarse en ataques dirigidos a centros de datos, lo que permitiría a los actores de amenazas espiar organizaciones o causar daños, según la firma de detección y respuesta a amenazas Trellix.

Los investigadores de Trellix han analizado el software de administración de energía del centro de datos PowerPanel Enterprise de CyberPower y la unidad de distribución de energía (PDU) iBoot de Dataprobe. Descubrieron un total de nueve vulnerabilidades, incluidas aquellas que permiten a un atacante obtener acceso completo al sistema objetivo.

Investigaciones anteriores mostraron que muchas PDU, incluido el producto iBoot, a menudo están expuestas a Internet, lo que hace posible lanzar ataques remotos contra organizaciones que las utilizan.

En el producto CyberPower PowerPanel Enterprise, los investigadores de Trellix descubrieron cuatro vulnerabilidades, incluidas credenciales codificadas, omisión de autenticación y problemas de inyección de comandos del sistema operativo.

En la PDU iBoot de Dataprobe, identificaron cinco vulnerabilidades, incluida la inyección de comandos del sistema operativo, la omisión de autenticación, las credenciales codificadas y los problemas de denegación de servicio (DoS).

En los ataques del mundo real, los actores de amenazas podrían explotar este tipo de vulnerabilidades para cortar la energía a los dispositivos conectados y causar interrupciones significativas.

“Un actor de amenazas podría causar interrupciones significativas durante días con solo presionar un interruptor en docenas de centros de datos comprometidos”, advirtió Trellix.

"Además, la manipulación de la administración de energía puede usarse para dañar los propios dispositivos de hardware, haciéndolos mucho menos efectivos, si no inoperables", agregó, señalando que esto podría resultar en pérdidas financieras de miles o decenas de miles de dólares por cada minuto. La energía del centro de datos está cortada.

Además de causar daños o interrupciones directamente, los piratas informáticos podrían colocar puertas traseras en los equipos del centro de datos y utilizarlas para comprometer otros sistemas y dispositivos.

“Algunos centros de datos albergan miles de servidores y se conectan a cientos de aplicaciones empresariales diversas. Los atacantes maliciosos podrían comprometer lentamente tanto el centro de datos como las redes empresariales conectadas a él”, dijo Trellix.

Los actores de amenazas patrocinados por el estado también podrían aprovechar los sistemas de administración de energía de los centros de datos comprometidos para realizar ciberespionaje.

Se notificó a CyberPower y Dataprobe y ambos proveedores lanzaron actualizaciones para corregir las vulnerabilidades. Además de instalar los parches, se recomienda a las organizaciones que se aseguren de que sus sistemas no estén expuestos a Internet.

Trellix dijo que no tenía conocimiento de ningún ataque malicioso que explotara estas vulnerabilidades.

Relacionado: La vulnerabilidad de los productos de energía solar explotados podría exponer a las organizaciones energéticas a ataques

Relacionado: Empresa de seguridad encuentra más de 130.000 sistemas de diagnóstico fotovoltaicos expuestos a Internet

Eduard Kovacs (@EduardKovacs) es editor jefe de SecurityWeek. Trabajó como profesor de TI en una escuela secundaria durante dos años antes de comenzar una carrera en periodismo como reportero de noticias de seguridad de Softpedia. Eduard es licenciado en informática industrial y máster en técnicas informáticas aplicadas a la ingeniería eléctrica.

Suscríbase al resumen por correo electrónico de SecurityWeek para mantenerse informado sobre las últimas amenazas, tendencias y tecnologías, junto con columnas interesantes de expertos de la industria.

Únase a los expertos en seguridad mientras analizan el potencial sin explotar de ZTNA para reducir el riesgo cibernético y potenciar el negocio.

Únase a Microsoft y Finite State en un seminario web que presentará una nueva estrategia para proteger la cadena de suministro de software.

A medida que las reglas de divulgación de incidentes cibernéticos de la SEC entren en vigencia, las organizaciones se verán obligadas a considerar seriamente brindar a los líderes de seguridad un asiento en la mesa. (Marc Solomon)

El trabajo remoto llegó para quedarse y las empresas deben continuar asegurándose de que sus formas básicas de comunicación estén configuradas y seguras correctamente. (Matt Honea)

La complejidad y el desafío de los entornos de nube distribuida a menudo requieren la gestión de múltiples pilas de infraestructura, tecnología y seguridad, múltiples motores de políticas, múltiples conjuntos de controles y múltiples inventarios de activos. (Joshua Goldfarb)

La evaluación automatizada del control de seguridad mejora la postura de seguridad al verificar configuraciones adecuadas y consistentes de los controles de seguridad, en lugar de simplemente confirmar su existencia. (Torsten George)

El contexto ayuda a completar el panorama y da como resultado inteligencia procesable que los equipos de seguridad pueden utilizar para tomar decisiones informadas más rápidamente. (Matt Wilson)

Flipboard

Correo electrónico

Menos de una semana después de anunciar que suspendería el servicio indefinidamente debido a un conflicto con un investigador de seguridad (en ese momento) anónimo...

OpenAI confirmó una violación de datos de ChatGPT el mismo día que una empresa de seguridad informó haber visto el uso de un componente afectado por un...

La amenaza a la cadena de suministro está directamente relacionada con la gestión de la superficie de ataque, pero la cadena de suministro debe ser conocida y comprendida antes de que pueda...

Un grupo de siete investigadores de seguridad ha descubierto numerosas vulnerabilidades en vehículos de 16 fabricantes de automóviles, incluidos errores que les permitían controlar el coche...

La última actualización de Chrome incluye parches para ocho vulnerabilidades, incluidas siete informadas por investigadores externos.

Martes de parches: Microsoft advierte que la vulnerabilidad (CVE-2023-23397) podría provocar una explotación antes de que se vea un correo electrónico en el panel de vista previa.

Un investigador de IOActive descubrió que los sistemas de seguridad domésticos de SimpliSafe están plagados de una vulnerabilidad que permite a los ladrones expertos en tecnología desactivar de forma remota...

Apple ha lanzado actualizaciones para macOS, iOS y Safari y todas incluyen un parche WebKit para una vulnerabilidad de día cero rastreada como CVE-2023-23529.