全球數(shù)萬(wàn)個(gè)太陽(yáng)能光伏發(fā)電站所采用的太陽(yáng)能發(fā)電監(jiān)控系統(tǒng)曝出嚴(yán)重漏洞，遠(yuǎn)程攻擊者目前正積極利用該漏洞破壞運(yùn)營(yíng)或在系統(tǒng)中駐留。

曝出漏洞的設(shè)備是日本大阪的Contec(康泰克)公司生產(chǎn)的SolarView太陽(yáng)能發(fā)電監(jiān)控系統(tǒng)，可幫助太陽(yáng)能光伏發(fā)電站內(nèi)的人員監(jiān)控產(chǎn)生、存儲(chǔ)和配電。Contec表示，全球大約3萬(wàn)個(gè)發(fā)電站已經(jīng)引進(jìn)了這些設(shè)備，根據(jù)運(yùn)營(yíng)規(guī)模和使用的設(shè)備類型不同，SolarView設(shè)備提供不同的封裝形式。

Solar View此次共曝出兩個(gè)漏洞(CVE-2022-29303和CVE-2023-293333)，嚴(yán)重性評(píng)分高達(dá)9.8，其中CVE-2022-29303是一個(gè)未經(jīng)身份驗(yàn)證的遠(yuǎn)程命令注入漏洞，影響Contec SolarView系列。該漏洞源于未能消除用戶輸入中包含的惡意內(nèi)容，攻擊者可執(zhí)行惡意命令發(fā)動(dòng)遠(yuǎn)程攻擊。

CVE-2022-29303影響Web服務(wù)器的conf_mail.php端點(diǎn)，但版本6.20(曝出漏洞的6.00版本之后的版本)并未修復(fù)該問(wèn)題。不僅6.00版本受到影響，6.20也受到影響。研究人員發(fā)現(xiàn)至少?gòu)?.00版本conf_mail.php開(kāi)始就存在非常直接的命令注入漏洞。

安全公司VulnCheck研究人員在Shodan上搜索發(fā)現(xiàn)，目前可通過(guò)開(kāi)放互聯(lián)網(wǎng)訪問(wèn)其中600多個(gè)光伏發(fā)電站(上圖)。研究人員指出，目前超過(guò)三分之二的使用Contec設(shè)備的光伏電站尚未安裝漏洞CVE-2022-29303的補(bǔ)丁更新。

安全公司Palo Alto Networks上個(gè)月曾透露，該漏洞正被Mirai的運(yùn)營(yíng)商積極利用，Mirai是一個(gè)由大量路由器和其他物聯(lián)網(wǎng)設(shè)備組成的開(kāi)源僵尸網(wǎng)絡(luò)。Contec設(shè)備的漏洞可能會(huì)導(dǎo)致使用它們的光伏電站設(shè)施失去對(duì)運(yùn)營(yíng)的可見(jiàn)性，可能會(huì)導(dǎo)致嚴(yán)重后果，具體取決于易受攻擊的設(shè)備的部署位置。

VulnCheck研究員Jacob*Baines指出：“事實(shí)上，光伏電站的許多類似系統(tǒng)都是面向互聯(lián)網(wǎng)的，而且漏洞利用公開(kāi)的時(shí)間已經(jīng)足夠長(zhǎng)，足以被納入Mirai變體中，這并不是一個(gè)好消息。光伏發(fā)電企業(yè)應(yīng)注意哪些系統(tǒng)出現(xiàn)在公共IP空間中，并密切跟蹤其這些系統(tǒng)的公開(kāi)漏洞。”

Baines表示，許多Solar View類似設(shè)備也容易受到漏洞CVE-2022-29303影響，后者是一種較新的命令注入漏洞，嚴(yán)重性評(píng)分高達(dá)9.8。自今年2月份以來(lái)，該漏洞的利用代碼已公開(kāi)發(fā)布。

Baines指出，由于漏洞CVE-2022-29303和CVE-2023-293333的CVE描述有誤，導(dǎo)致很多光伏發(fā)電企業(yè)的漏洞修補(bǔ)失敗。這兩個(gè)漏洞的描述中聲稱SolarView 8.00和8.10版本都已修復(fù)漏洞，但事實(shí)上只有8.10版本針對(duì)上述兩個(gè)漏洞進(jìn)行了修補(bǔ)。

Palo Alto Networks表示，對(duì)漏洞CVE-2022-29303的利用只是更大規(guī)模的攻擊活動(dòng)的一部分。該活動(dòng)利用了一系列物聯(lián)網(wǎng)設(shè)備中的22個(gè)漏洞，試圖傳播Marai變種。這些攻擊始于今年3月份，攻擊者試圖利用這些漏洞安裝shell接口遠(yuǎn)程控制設(shè)備。一旦被利用，設(shè)備就會(huì)下載并執(zhí)行為各種Linux架構(gòu)編寫的bot客戶端。

有跡象表明漏洞CVE-2022-29303可能更早之前就已成為攻擊目標(biāo)，其漏洞利用代碼自2022年5月起就已出現(xiàn)。當(dāng)時(shí)有黑客在youtube上公布了用Shodan搜索并攻擊SolarView系統(tǒng)的視頻(下圖)。

對(duì)于第二個(gè)漏洞CVE-2023-23333，雖然沒(méi)有跡象表明攻擊者正在積極利用，但GitHub上已經(jīng)發(fā)布了該漏洞的多個(gè)利用代碼。

截止發(fā)稿，Contec的官方網(wǎng)站上尚沒(méi)有關(guān)于這兩個(gè)漏洞的安全咨文，任何使用受影響設(shè)備的企業(yè)都應(yīng)盡快更新(到Solar View 8.10版本)。光伏電站還應(yīng)檢查存在漏洞的設(shè)備是否暴露在互聯(lián)網(wǎng)上，如果是，則需要更改其配置確保僅能從內(nèi)網(wǎng)訪問(wèn)這些設(shè)備。