Iskra iHUB e iHUB Lite sono gateway di smart metering utilizzati all’interno dell’Advanced Metering Infrastructure (AMI) e costituiscono un collegamento critico tra i contatori dei consumatori e i fornitori di servizi. Questi dispositivi sono fondamentali per le operazioni delle reti elettriche moderne, poiché permettono la lettura remota dei contatori, il monitoraggio e la gestione.

La vulnerabilità rappresenta un rischio critico in quanto permette un completo controllo amministrativo non autenticato sui dispositivi interessati. Questa falla è di facile sfruttamento se l’interfaccia di gestione web del dispositivo è esposta a reti non fidate, come internet. Data la gravità di questa vulnerabilità nei dispositivi dei Sistemi di Controllo Industriale (ICS), la US Cybersecurity and Infrastructure Security Agency (CISA) ha emesso un avviso riguardo minacce attive.

Qualsiasi fornitore di servizi che utilizza questi gateway è a rischio immediato. Uno sfruttamento riuscito potrebbe causare gravi interruzioni del servizio, errori di fatturazione e costituire un punto di accesso per attacchi più ampi alla rete elettrica. L’esistenza di un exploit pubblico aumenta significativamente la probabilità di attacchi opportunistici o mirati.

Riassunto tecnico

La causa principale di questa vulnerabilità è un CWE-306: Mancata Autenticazione per una Funzione Critica. L’interfaccia di gestione web del dispositivo non implementa alcun meccanismo di autenticazione, consentendo a qualsiasi utente remoto di accedere alle pagine di configurazione sensibili e alle funzioni amministrative senza fornire credenziali.

La catena di attacco è semplice:

1. Un attaccante scopre un dispositivo Iskra iHUB accessibile da internet.
2. L’attaccante si collega direttamente all’indirizzo IP del portale di gestione web del dispositivo tramite un browser standard.
3. Il dispositivo concede accesso amministrativo completo e immediato, poiché non viene richiesto alcun tipo di autenticazione.

Un attaccante non autenticato può modificare impostazioni critiche, inclusi i parametri di rete, le configurazioni di report dei contatori e il firmware. Questo potrebbe essere usato per manipolare i dati di fatturazione, creare una condizione di denial-of-service diffuso mettendo offline i contatori, o utilizzare il gateway compromesso come punto di partenza per attaccare la rete di tecnologia operativa (OT) del fornitore.

Sistemi interessati: dispositivi Iskra iHUB e iHUB Lite.
Correzione: Al momento di questo avviso, non è disponibile una patch. Si consiglia agli utenti di monitorare le comunicazioni del fornitore per aggiornamenti.

Raccomandazioni

• Applicare patch non appena disponibili: Monitorare gli avvisi del fornitore Iskraemeco per aggiornamenti firmware e applicarli appena rilasciati.
• Mitigazioni:
  • Assicurarsi IMMEDIATAMENTE che l’interfaccia di gestione web di tutti i dispositivi Iskra iHUB non sia esposta a internet pubblica.
  • Utilizzare la segmentazione della rete per isolare l’infrastruttura di smart metering dalle reti aziendali e da altre reti.
  • Implementare regole firewall restrittive per limitare l’accesso all’interfaccia di gestione, consentendo connessioni solo da un jump host amministrativo dedicato o da un intervallo di IP sicuri e autorizzati.
  • Richiedere l’accesso tramite VPN per qualsiasi amministrazione remota dei dispositivi.
• Individuazione e monitoraggio:
  • Analizzare i log del firewall e della rete per eventuali connessioni alle porte di gestione Iskra iHUB da indirizzi IP esterni e non fidati.
  • Monitorare i dispositivi per eventuali modifiche non autorizzate o inattese alla configurazione, in particolare relative alle impostazioni di rete o agli endpoint dei report.
• Risposta agli incidenti:
  • In caso di sospetto compromesso, isolare immediatamente il dispositivo interessato dalla rete per evitare ulteriori impatti.
  • Eseguire un audit completo della configurazione del dispositivo confrontandola con una baseline conosciuta come affidabile.
  • Conservare i log e le immagini del dispositivo per analisi forensi.
• Difesa in profondità:
  • Eseguire regolarmente valutazioni di sicurezza e scansioni di vulnerabilità su tutti i componenti delle reti OT e AMI.
  • Assicurarsi che siano in atto procedure robuste di backup e ripristino per le configurazioni critiche dei dispositivi.