数万座光伏发电站面临严重威胁!
全球数万个太阳能光伏发电站所采用的太阳能发电监控系统曝出严重漏洞,远程攻击者目前正积极利用该漏洞破坏运营或在系统中驻留。座光
曝出漏洞的设备是日本大阪的Contec(康泰克)公司生产的SolarView太阳能发电监控系统,可帮助太阳能光伏发电站内的面临人员监控产生、存储和配电。严重Contec表示,威胁全球大约3万个发电站已经引进了这些设备,数万根据运营规模和使用的座光设备类型不同,SolarView设备提供不同的电站封装形式。
Solar View此次共曝出两个漏洞(CVE-2022-29303和CVE-2023-293333),严重性评分高达9.8,严重其中CVE-2022-29303是威胁一个未经身份验证的远程命令注入漏洞,影响Contec SolarView系列。数万该漏洞源于未能消除用户输入中包含的座光恶意内容,攻击者可执行恶意命令发动远程攻击。电站
CVE-2022-29303影响Web服务器的conf_mail.php端点,但版本6.20(曝出漏洞的6.00版本之后的版本)并未修复该问题。不仅6.00版本受到影响,6.20也受到影响。研究人员发现至少从4.00版本conf_mail.php开始就存在非常直接的命令注入漏洞。
安全公司VulnCheck研究人员在Shodan上搜索发现,目前可通过开放互联网访问其中600多个光伏发电站(上图)。研究人员指出,目前超过三分之二的使用Contec设备的光伏电站尚未安装漏洞CVE-2022-29303的补丁更新。
安全公司Palo Alto Networks上个月曾透露,该漏洞正被Mirai的运营商积极利用,Mirai是一个由大量路由器和其他物联网设备组成的开源僵尸网络。Contec设备的漏洞可能会导致使用它们的光伏电站设施失去对运营的可见性,可能会导致严重后果,具体取决于易受攻击的设备的部署位置。
VulnCheck研究员Jacob*Baines指出:“事实上,光伏电站的许多类似系统都是面向互联网的,而且漏洞利用公开的时间已经足够长,足以被纳入Mirai变体中,这并不是一个好消息。光伏发电企业应注意哪些系统出现在公共IP空间中,并密切跟踪其这些系统的公开漏洞。”
Baines表示,许多Solar View类似设备也容易受到漏洞CVE-2022-29303影响,后者是一种较新的命令注入漏洞,严重性评分高达9.8。自今年2月份以来,该漏洞的利用代码已公开发布。
Baines指出,由于漏洞CVE-2022-29303和CVE-2023-293333的CVE描述有误,导致很多光伏发电企业的漏洞修补失败。这两个漏洞的描述中声称SolarView 8.00和8.10版本都已修复漏洞,但事实上只有8.10版本针对上述两个漏洞进行了修补。
Palo Alto Networks表示,对漏洞CVE-2022-29303的利用只是更大规模的攻击活动的一部分。该活动利用了一系列物联网设备中的22个漏洞,试图传播Marai变种。这些攻击始于今年3月份,攻击者试图利用这些漏洞安装shell接口远程控制设备。一旦被利用,设备就会下载并执行为各种Linux架构编写的bot客户端。
有迹象表明漏洞CVE-2022-29303可能更早之前就已成为攻击目标,其漏洞利用代码自2022年5月起就已出现。当时有黑客在youtube上公布了用Shodan搜索并攻击SolarView系统的视频(下图)。
对于第二个漏洞CVE-2023-23333,虽然没有迹象表明攻击者正在积极利用,但GitHub上已经发布了该漏洞的多个利用代码。
截止发稿,Contec的官方网站上尚没有关于这两个漏洞的安全咨文,任何使用受影响设备的企业都应尽快更新(到Solar View 8.10版本)。光伏电站还应检查存在漏洞的设备是否暴露在互联网上,如果是,则需要更改其配置确保仅能从内网访问这些设备。
相关文章
- 蒙特梭利教室有一个很重要的教学区域,叫做感官区域。蒙氏感官教育主要分为:视、听、嗅、味、触五个部分。通过真实可操作的教具,刺激训练幼儿的感官,强化感官体验,培养孩子观察力、判断力、辨别能力和推理和逻辑2024-09-20
- 好久沒看到全球股市這樣漲,發生什麼好事?能夠軟著陸嗎?鮑爾說,「類軟著陸」什麼意思?「3+4」、「0+7」,居隔方案哪個可以理賠?您的閱讀篇數已達上限立刻訂閱全閱讀,即可享全站不限篇數閱讀2024-09-20
內需熄火、保4落空 台灣景氣烏雲罩頂,開放國門能解凍經濟?|天下雜誌
原打算靠內需帶動成長的台灣經濟,在與病毒共存下,情況不樂觀。通膨與升息烏雲罩頂,也把投資和出口拉下水,企業主對下半年景氣憂心忡忡。經濟保4幾乎確定落空,過去一年多的好日子,已提早曲終人散。您的閱讀篇數2024-09-20- 烏克蘭戰爭使特定基本食物的漲價、稀缺問題更加惡化,加上肥料短缺,糧食供應可能更加緊繃。您的閱讀篇數已達上限立刻訂閱全閱讀,即可享全站不限篇數閱讀2024-09-20
- 兔女猪男相配婚姻会怎么样想要恋爱或者结婚其实不难,只要彼此稍微迁就下对方,一方忍让一些一方懂得适可而止,那么就能够生活在一起,恋爱婚姻这些都不是问题。但那种生活是你想要的吗?很多人都遇到过与自己很适合2024-09-20
- 美國聯準會5月宣布將在下個月開始縮表,並在三個月後進一步擴大規模。投資人擔心,此舉可能進一步推升利率,也可能導致公債市場失靈。您的閱讀篇數已達上限立刻訂閱全閱讀,即可享全站不限篇數閱讀2024-09-20
最新评论