Danfoss heeft een update uitgebracht die meerdere beveiligingslekken in de AK-SM 800A controller verhelpt, waarmee koelsystemen op afstand konden worden uitgeschakeld.
De Deense fabrikant Danfoss heeft een beveiligingsupdate beschikbaar gesteld voor de AK-SM 800A controller, die wordt gebruikt in koelinstallaties van onder meer supermarkten. Met deze update worden diverse kwetsbaarheden aangepakt die aanvallers in staat stelden om de koelsystemen op afstand onbruikbaar te maken. Dit meldt de Duitse overheid.
De Danfoss-controllers worden ingezet voor het regelen van koelinstallaties, waarbij het onder andere mogelijk is om de temperatuur op afstand aan te passen. In de afgelopen weken zijn honderden Europese supermarkten met deze controllers, die zonder adequate beveiliging via internet bereikbaar waren, doelwit geweest van aanvallen. Hierbij werd misbruik gemaakt van bekende kwetsbaarheden en standaardwachtwoorden om de temperatuur te verhogen, wat de werking van de koelsystemen verstoorde.
Het Nederlandse cybersecuritybedrijf Midnight Blue ontdekte eerder zes kritieke kwetsbaarheden in de firmwareversie 5.3.2 en eerdere versies van de AK-SM 800A controller. Deze lekken maakten het mogelijk om de apparaten volledig op afstand over te nemen. Het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) meldt dat met de recent uitgebrachte firmwareversie 5.4.0 meerdere van deze kwetsbaarheden zijn verholpen. Omdat er geen CVE-nummers zijn vrijgegeven, blijft onduidelijk welke specifieke problemen precies zijn opgelost.
Volgens het BSI kan een succesvolle aanval via deze kwetsbaarheden leiden tot het installeren van malware en het langdurig buiten werking stellen van de koelsystemen. De Duitse instantie benadrukt dat koelsystemen niet direct aan het internet gekoppeld mogen zijn. Indien externe toegang noodzakelijk is, dient dit via een beveiligde VPN-verbinding te gebeuren.
In de readme bij firmwareversie 5.4.0 geeft Danfoss geen details over de verholpen kwetsbaarheden. Wel meldt het bedrijf dat door ingrijpende updates en aanpassingen in de databasestructuur een downgrade naar een eerdere firmwareversie na installatie niet mogelijk is.
