Aktif saldırılar sürerken Danfoss AK-SM800A denetleyicilerinde altı yeni ön kimlik doğrulama RCE açığı bulundu

Aktif saldırı altındaki bir cihazda altı yeni zero-day

Güvenlik firması Midnight Blue, Danfoss AK-SM800A denetleyicilerinde, hepsi stack tabanlı buffer overflow olan, önceden bilinmeyen altı ön kimlik doğrulama uzaktan kod çalıştırma açığı keşfettiklerini açıkladı. Analiz sırasında en güncel sürüm olan 5.3.2 dahil tüm yazılım sürümleri etkileniyor. Araştırmacılar, Danfoss ile koordineli açıklama süreci devam ettiği için teknik ayrıntıları ve CVE tanımlayıcılarını şimdilik açıklamıyor; ancak açıkların, üreticinin sağladığı yazılım imajının yaklaşık bir saatlik manuel incelemesinden sonra ortaya çıktığını belirtiyorlar.

Bulgular, olayın ortasında geldi. Midnight Blue'ya göre bu denetleyicilere yönelik saldırı dalgaları 11 Ekim'de Fransa'da başladı ve eski açıklar için herkese açık kavram kanıtı (proof-of-concept) exploit'ler, ilk saldırılardan sonraki 48 saat içinde, 2 Kasım'daki ikinci dalgadan önce ortaya çıktı.

Basit hatalarla dolu uzun bir geçmişi olan cihaz

AK-SM800A'nın zaten kötü durumda olduğu biliniyordu. Midnight Blue, SynAcktiv'in 2023'teki, Claroty'nin 2025'teki ve DIVD ile HackDefense'in 2023'teki önceki araştırmalarına dikkat çekiyor; bu araştırmalar birlikte AK-SM800A'da bir kimlik doğrulama atlatma (CVE-2025-41450), OS komut enjeksiyonu (CVE-2023-25915 ve CVE-2025-41451) ve path traversal (CVE-2023-25914) açıklarını, ömrünü tamamlamış AK-EM100'de ise SQL injection (CVE-2023-22583) ve OS komut enjeksiyonu (CVE-2023-25911) açıklarını belgelemişti. Araştırmacılar tüm bunları keşfetmesi ve sömürmesi şaşırtıcı derecede kolay açıklar olarak tanımlıyor.

Yazılımın içi nasıl görünüyor

Danfoss yazılım imajlarını web sitesinde yayımlıyor; bu imajlar sıkıştırılmış ARM ikili dosyaları içeriyor ve i.MX6 işlemci üzerinde, Yocto tabanlı özel bir Linux dağıtımı olan Danux çalıştırıyor. Web'e bakan yüzey, .cgi URL'lerine gelen istekleri sm_app içindeki işleyicilere ileten bir NGINX reverse proxy'den oluşuyor; sm_app, Modbus'tan web sunucusuna kadar her şeyi kapsayan 52 iç görevle küçük bir gerçek zamanlı işletim sistemi gibi davranan tek parça bir süreç.

Midnight Blue, sistemin tamamını emüle etmek yerine sm_app'i QEMU altında userland'da çalıştırdı ve bir LD_PRELOAD shim'i kullanarak kontrol akışını main() düzeyinde ele geçirdi ve yalnızca web görevini başlattı. Kodda buldukları şey iç karartıcıydı: uzunluk sınırı olmayan strcpy fonksiyonuna yüzlerce çağrı, kimlik doğrulama gerektirmeyen, dışarıdan erişilebilir işleyicilerin içinde duruyordu. Eski yazılım sürümlerinde her komut işleyicisi kimlik doğrulamayı merkezi bir denetim yerine kendi başına zorunlu kılıyordu ve bu, kimlik doğrulamasız saldırı yüzeyini gereksiz şekilde genişletiyordu. Bir checksec taraması, ikili dosyada stack canary bulunmadığını, position-independent executable desteği olmadığını ve yalnızca kısmi RELRO bulunduğunu gösteriyor; bu da klasik bellek bozulması sömürüsünü büyük ölçüde engelsiz bırakıyor.

Hâlâ çevrimiçi olan bir filo

Araştırmacıların aktardığı Censys verileri, yüzlerce Danfoss sisteminin hâlâ genel internete açık olduğunu gösteriyor; bunların kayda değer bir kısmı muhtemelen artık honeypot, ayrıca henüz hedef alınmamış benzer üreticilere ait 1.000'den fazla Copeland ve Dixell soğutucu denetleyicisi ile yüzlerce Eliwell denetleyicisi de açıkta.

Midnight Blue, yeni açıkların etkisinin tam cihaz ele geçirme, sıfırlamaya dayanabilecek kalıcı erişim ve donanımı kullanılamaz hale getiren kalıcı hizmet reddi içerdiğini uyarıyor. Yazının başlığında açıkça ifade edilen sert mesajları şu: yamalamak tek başına yeterli bir yanıt değil. Danfoss'un önerileri güncellemelere odaklanıyor, ancak yamanmamış altı zero-day, varlık sahiplerinin riskin kontrol altında olduğunu varsunamayacağı anlamına geliyor. Önerilen risk azaltma yöntemi, denetleyicileri açık internetten tamamen kaldırmak ve VPN, özel APN veya sıkı kısıtlayıcı IP allow-list kullanmak. Araştırmacılar bunun neden genellikle yapılmadığının da farkında: süpermarket zincirleri uzaktan bakım erişimini keserek SLA veya sigorta koşullarını ihlal edebilir.

Neden önemli

AK-SM800A, operasyonel teknolojinin göz alıcı olmayan ucunda yer alıyor; süpermarket soğutmasını ve bina sistemlerini sessizce çalışır tutuyor, bu da onu gözden kaçırmayı kolay, çevrimdışı bırakmayı acı verici kılıyor. Bu olay, üretici yama döngüleri ile gerçeklik arasındaki uçurumu gözler önüne seriyor: yıllardır belgelenmiş açıklar, sahada aktif sömürü ve tek bir araştırmacının yaklaşık bir saatte bulduğu yeni ön kimlik doğrulama RCE'leri. İnternete bakan bir web arayüzüne sahip gömülü denetleyicileri çalıştıran her kurum için savunulabilir konum, önce ağ yalıtımı sonra yamalamadır. Danfoss düzeltmeleri yayımlayana ve sahipler erişimi kısıtlayana kadar bu cihazların yüzlercesi, tamamen ele geçirilmekten tek bir kötücü isteği uzakta durmaya devam ediyor.