Iskra iHUB e iHUB Lite sono gateway per smart metering utilizzati negli ambienti di infrastrutture critiche, fungendo da punto centrale per l’aggregazione dei dati per i fornitori di servizi. Questi dispositivi sono fondamentali per la fatturazione operativa e la gestione della rete, rendendo la loro integrità una priorità aziendale di alto livello.

La vulnerabilità rappresenta un rischio critico consentendo a un attaccante non autenticato e adiacente alla rete di ottenere pieno accesso amministrativo al dispositivo. L’impatto è grave, potenzialmente portando all’interruzione dei servizi, alla manipolazione dei dati di fatturazione con conseguenti perdite economiche dirette, e fornendo un punto di accesso per movimenti laterali all’interno di reti OT (Operational Technology) altamente sensibili.

Sebbene questa vulnerabilità non sia attualmente elencata nel catalogo delle Vulnerabilità Sfruttate Conosciute (KEV) della CISA e non ci siano segnalazioni pubbliche di sfruttamento attivo, la falla è estremamente facile da sfruttare. Qualsiasi organizzazione con un dispositivo Iskra iHUB la cui interfaccia web di gestione sia accessibile sulla rete è esposta a un rischio immediato e significativo.

Riassunto tecnico

La causa principale di questa vulnerabilità è CWE-306: Mancanza di Autenticazione per Funzione Critica. L’interfaccia web di gestione del dispositivo è stata progettata senza alcun meccanismo di autenticazione, il che significa che non richiede l’inserimento di un nome utente, password o altra credenziale prima di concedere l’accesso ai controlli amministrativi sensibili.

Il percorso di attacco è estremamente semplice:

1. Un attaccante con accesso alla rete (es. sulla stessa rete locale o VLAN) identifica l’indirizzo IP del dispositivo Iskra iHUB.
2. L’attaccante accede all’interfaccia web del dispositivo utilizzando un browser standard.
3. L’applicazione non esegue alcun controllo di autenticazione e serve direttamente il pannello amministrativo completo.
4. L’attaccante ottiene immediatamente il controllo completo, equivalente a quello di un amministratore legittimo.

Un attacco riuscito consente di modificare impostazioni critiche, interrompere il servizio, alterare dati di fatturazione e potenzialmente sfruttare l’accesso ottenuto per lanciare ulteriori attacchi all’interno della più ampia rete di utility. Al momento della stesura, le versioni specifiche del firmware interessate e quelle patchate non sono state rese pubbliche.

// Conceptual Example: Lack of Access Control Middleware
// An attacker requests a sensitive administrative endpoint, and no
// authentication check is performed before processing the request.

function handle_request(request) {
    if (request.path == "/admin/system_configuration") {
        // VULNERABLE: No authentication or session check is performed.
        // The administrative panel is rendered for any user.
        return render_admin_panel();
    }
}

Raccomandazioni

• Applicare le patch immediatamente: Contattare il fornitore, Iskra, per ottenere informazioni e applicare gli aggiornamenti firmware necessari per correggere questa vulnerabilità.
• Mitigazioni:
  • Segmentazione di rete: Questa è la mitigazione più importante. Assicurarsi che l’interfaccia web di gestione di tutti i dispositivi Iskra iHUB non sia mai esposta a Internet o a reti non attendibili.
  • Controllo degli accessi: Limitare tutto l’accesso all’interfaccia di gestione a un segmento di rete dedicato e controllato (VLAN) accessibile solo da personale e sistemi autorizzati. Implementare regole firewall rigorose o liste di controllo accessi (ACL) per far rispettare questa politica.
• Caccia e Monitoraggio:
  • Monitoraggio dei registri di rete: Il traffico in ingresso verso le porte di gestione web (tipicamente TCP 80/443) dei dispositivi iHUB deve essere attentamente monitorato. Generare allerte per eventuali tentativi di connessione provenienti da indirizzi IP esterni alla rete amministrativa designata.
  • Audit delle modifiche: Stabilire una configurazione di base sicura per ogni dispositivo. Eseguire periodicamente audit per verificare modifiche non autorizzate alla configurazione, riavvii inattesi o modifiche al firmware.
• Risposta agli incidenti:
  • Isolare: Se si sospetta una compromissione, isolare immediatamente il dispositivo interessato dalla rete per prevenire movimenti laterali e contenere l’incidente.
  • Preservare le prove: Se possibile, conservare i log e creare un’immagine forense del dispositivo per supportare un’indagine sulla portata della compromissione.
• Difesa in profondità:
  • Rinforzare i dispositivi: Esaminare e disabilitare eventuali servizi o porte non necessari sui dispositivi per ridurre al minimo la superficie di attacco complessiva.