影响通用电气通用继电器的关键缺陷对电力公司构成威胁

美国网络安全和基础设施安全局（CISA）警告称，通用电气的通用继电器（UR）电源管理设备系列存在严重的安全缺陷。

"Successful exploitation of these vulnerabilities could allow an attacker to access sensitive information, reboot the UR, gain privileged access, or cause a denial-of-service condition," the agency said in an advisory published on March 16.

通用电气的通用继电器能够实现集成监控和计量、高速通信，并为保护关键资产提供简化的电源管理。

GE于2020年12月24日发布了更新版本的UR固件（版本8.10），解决了影响许多UR高级保护和控制继电器的缺陷，包括B30、B90、C30、C60、C70、C95、D30、D60、F35、F60、G30、G60、L30、L60、L90、M60、N60、T35和T60。

这些补丁共解决了九个漏洞，其中最重要的是不安全的默认变量初始化，即使用不安全值初始化软件中的内部变量。该漏洞（CVE-2021-27426）也被评为10分之9.8，这使其成为一个关键问题。

IBM在其警报中指出：“通过发送精心编制的请求，攻击者可以利用此漏洞绕过访问限制。”。第二个严重漏洞与引导加载程序二进制文件（CVE-2021-27430，CVSS分数8.4）中未使用的硬编码凭据有关，攻击者可以利用该漏洞“通过物理访问UR[智能电子设备]来重新启动UR，从而中断引导序列”

GE还修复了另一个高严重性缺陷（CVE-2021-27428，CVSS评分7.5），该缺陷可能允许未经授权的用户在没有适当权限的情况下升级固件。

另外四个漏洞涉及两个不正确的输入验证（CVE-2021-27418、CVE-2021-27420）和两个与向未经授权方泄露敏感信息有关的漏洞（CVE-2021-27422、CVE-2021-27424），从而使设备面临跨站点脚本攻击，允许攻击者在没有身份验证的情况下访问关键信息，甚至使Web服务器无响应。

最后，发现8.1x之前的所有UR固件版本都使用弱加密和MAC算法进行SSH通信，使其更容易受到暴力攻击。

该机构表示：“CISA建议用户采取防御措施，将利用这些漏洞的风险降至最低。”。“最大限度地减少所有控制系统设备和/或系统的网络暴露，确保它们不能从Internet访问，[并]在防火墙后面定位控制系统网络和远程设备，并将它们与业务网络隔离。”