CISA发布公告提醒通用电气电源管理设备存在安全缺陷

美国网络安全与基础设施安全局(CISA)通告，通用电气生产的 Universal Relay(UR)系列电源管理设备中存在严重的安全漏洞。

通用电气的 Universal Relay 系列设备是“简化电源管理以保护关键资产的基础”。允许用户控制各种设备消耗的电力，UR 系列设备允许将设备切换到不同的电源模式(设备在不同电源模式下有不同的使用特性)。通用电力已经针对以下受影响的设备发布了补丁程序：B30、B90、C30、C60、C70、C95、D30、D60、F35、F60、G30、G60、L30、L60、L90、M60、N60、T35 和 T60。

[[392328]]

CISA 在公告中提示，如果不进行更新可能导致攻击者利用漏洞访问敏感信息、重新启动 Universal Relay 系列设备、执行提权或者导致拒绝服务。

鉴于这些设备控制着电力的流向，这些缺陷带来的影响是很大的。通用电力强烈建议受影响的用户将固件更新到 8.10 或者更高版本，以此加固存在的漏洞。

安全缺陷

通用电气在受影响的设备上一口气修复了 9 个漏洞，其中最严重的漏洞(CVE-2021-27426)的 CVSS 评分为 9.8，该漏洞由于默认变量初始化方式不安全。

根据 IBM 的描述，受影响的设备可以允许攻击者远程绕过安全限制，通过发送特定的请求就可以利用此漏洞，且漏洞利用的水平要求不会很高。

另一个严重的漏洞(CVE-2021-27430)由于 7.00、7.01 和 7.02 版本的 UR 设备在加载程序文件时包含硬编码的凭据。本地攻击者可以利用该漏洞重新启动 UR 设备来改变启动顺序，该漏洞的 CVSS 评分为 8.4。

漏洞(CVE-2021-27422)在 UR 设备上通过 HTTP 访问 Web 接口，无需身份验证就可以得到敏感信息。

漏洞(CVE-2021-27428)基于 UR 设备上的配置管理工具的缺陷使远程攻击者可以上传任意文件，也可以利用此漏洞在没有权限的情况下升级固件。