APC, bir güvenlik bildiriminde ev ve kurumsal kullanıcıları, UPS sistemlerini çevrimiçi olarak izlemek ve kontrol etmek için kullanılan yazılımlardaki kritik güvenlik açıkları konusunda uyardı.
APC, bir güvenlik bildiriminde ev ve kurumsal kullanıcıları, UPS sistemlerini çevrimiçi olarak izlemek ve kontrol etmek için kullanılan yazılımlardaki kritik güvenlik açıkları konusunda uyardı.
1981’de American Power Conversion olarak başlayan APC, bugün Schneider Electric™’in bir parçasıdır. APC, fiziksel altyapı ve yazılım çözümlerinde endüstri lideri ve en popüler kesintisiz güç kaynağı (UPS) markalarından biridir. Şirket, ev kullanıcılarından endüstriyel kontrol uygulamalarına kadar çeşitli UPS çözümleri sunmaktadır.
Güvenlik açıklarından etkilenen izleme yazılımı:
- APC Easy UPS Çevrimiçi İzleme Yazılımı (V2.5-GA-01-22320 ve öncesi (Windows 10, 11 Windows Server 2016, 2019, 2022))
- Schneider Electric Easy UPS Çevrimiçi İzleme Yazılımı (V2.5-GS-01-22320 ve öncesi (Windows 10, 11 Windows Server 2016, 2019, 2022))
Easy UPS Çevrimiçi İzleme Yazılımı, APC ve Schneider Electric markalı Easy UPS ürünlerini yapılandırmak ve yönetmek için kullanılır.
APC Easy UPS Çevrimiçi İzleme Yazılımı (Windows 10) kullanıcıları, düzeltme içeren sürümleri buradan indirebilir.
Schneider Electric Easy UPS Çevrimiçi İzleme Yazılımı (Windows 10) kullanıcıları, düzeltme içeren bir sürümü buradan edinebilir.
Düzeltmelerin uygulanmaması, uzaktan kod yürütme, ayrıcalıkların yükseltilmesi veya kimlik doğrulama atlama riskine neden olabilir ve bu da kötü amaçlı web kodunun yürütülmesine veya cihaz işlevselliğinin kaybına neden olabilir.
Yukarıda sağlanan düzeltmeyi uygulamamayı seçen tüm kullanıcılar, açıklardan yararlanma riskini azaltmak için aşağıdaki genel güvenlik önerilerini hemen uygulamalıdır:
Windows (10, 11) ve Windows server 2016, 2019, 2022 için: Easy UPS birimlerine doğrudan erişimi olan müşteriler, Easy UPS On-Line (SRV, SRVL) tarafından korunan tüm sunucularda PowerChute Serial Shutdown (PCSS) yazılımına yükseltme yapmalıdır. modeller).
Genel bir tavsiye olarak, çevrimiçi izleme araçlarının bir güvenlik duvarının arkasında olması ve erişimin gerçekten ihtiyacı olanlarla sınırlandırılması gerektiğini söylemekte fayda var.
Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) veritabanı, kamuya açıklanmış bilgisayar güvenlik açıklarını listeler. Bu güncellemelerde yamalanan CVE’ler şunlardır:
CVE-2023-29411 CVSS puanı 10 üzerinden 9,8: Kritik işlev güvenlik açığı için eksik bir kimlik doğrulaması güvenlik açığı mevcuttur ve bu güvenlik açığı, yönetici kimlik bilgilerinde değişikliklere izin vererek, Java RMI arabiriminde önceden kimlik doğrulaması gerektirmeden olası uzaktan kod yürütülmesine yol açabilir. Bu güvenlik açığından yararlanmak, yetkisiz bir saldırgana yönetici oturum açma kimlik bilgilerini değiştirme seçeneği sunar.
CVE-2023-29412 CVSS puanı 10 üzerinden 9,8: Java RMI arabirimi aracılığıyla dahili yöntemleri işlerken uzaktan kod yürütülmesine neden olabilecek büyük/küçük harf duyarlılığı güvenlik açığının yanlış işlenmesi mevcuttur. Yazılım, uzaktan kod yürütülmesine yol açabilecek özel öğeleri etkisiz hale getirmez veya yanlış bir şekilde etkisiz hale getirir.
CVE-2023-29413 CVSS puanı 10 üzerinden 7,5: Schneider UPS Monitor hizmetinde kimliği doğrulanmamış bir kullanıcı tarafından erişildiğinde Hizmet Reddine neden olabilecek kritik işlev güvenlik açığı için eksik bir kimlik doğrulaması mevcuttur. Genellikle Hizmet Reddi güvenlik açıkları ciddi kabul edilmez, ancak bazı kullanım durumlarında kesintisiz güç kaynağının önemi göz önüne alındığında, bir kesintinin sonuçları ciddi olabilir.
Güvenlik açıklarını yalnızca rapor etmiyoruz; bunları belirliyor ve eyleme öncelik veriyoruz.
Siber güvenlik riskleri asla bir manşetin ötesine geçmemelidir. Malwarebytes Güvenlik Açığı ve Yama Yönetimi’ni kullanarak güvenlik açıklarını yedekte tutun.