Im Mittelpunkt der Untersuchung von Claroty standen Netzwerkkarten von Vertiv, die USV-Geräten eine Netzwerkschnittstelle bereitstellen. Diese Karten bieten standardmäßig eine Weboberfläche für die USV-Systeme. Nach Angaben der Forscher sind sie von zwei Sicherheitslücken betroffen: einer Umgehung der Authentifizierung und einer Schwachstelle zur Remotecodeausführung.
Werden beide Lücken miteinander kombiniert, kann ein Angreifer laut Claroty aus der Ferne auf die angegriffene USV zugreifen und beliebigen Code ausführen. Das sei vor allem wegen des Einsatzkontexts brisant. Claroty weist darauf hin, dass USV-Anlagen in Rechenzentren intensiv genutzt werden, um den Betrieb bei Stromausfällen aufrechtzuerhalten. Zudem schützen sie Systeme vor Spannungsspitzen und -einbrüchen und ermöglichen ein sicheres Herunterfahren.
Gerade in großen Rechenzentren hänge praktisch die gesamte Rechentechnik bei Stromproblemen von diesen USV-Geräten ab, erklärte Claroty. Schwächen in den Kommunikationsmodulen solcher Anlagen könnten daher die von ihnen geschützten Maschinen unmittelbar beeinträchtigen.
Separat analysierten die Forscher den HVAC-Controller Trane Tracer SC+, der laut Claroty weltweit in Rechenzentren und anderen kritischen Umgebungen breit eingesetzt wird. Dabei fanden sie mehrere Schwachstellen, darunter Probleme bei der Authentifizierung, Remotecodeausführung, Denial-of-Service und die Offenlegung sensibler Informationen.
Claroty beschreibt diese Lücken als „in hohem Maße ausnutzbar“. Falls sie als Angriffswerkzeug eingesetzt würden, könnten sie eine nicht authentifizierte Remotecodeausführung und eine weitreichende Offenlegung sensibler Informationen ermöglichen. In der Praxis könnte ein Angreifer damit nach Darstellung des Unternehmens ein kritisches Gebäudemanagementsystem vollständig von außen kontrollieren.
Auch hier begründet Claroty die Relevanz mit der Funktion der Systeme in Rechenzentren. Server erzeugten enorme Mengen an Wärme, und ein Ausfall der Klimatisierung sei weit mehr als ein Komfortproblem, so das Unternehmen. Er könne thermisch bedingte Abschaltungen auslösen, teure Hardware beschädigen, größere Dienstunterbrechungen verursachen und zu Verlusten in Millionenhöhe führen.
Claroty teilte seine Erkenntnisse sowohl Trane als auch Vertiv mit. Nach Angaben des Unternehmens arbeitete es mit beiden Herstellern zusammen, um die Schwachstellen zu schließen.