Bekijk Volledige Versie : apc exploit
Olivier Baum
18/02/04, 19:25
Beste,
http://article.gmane.org/gmane.comp.security.bugtraq/10209/match=apc
Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
enigen met problemen: tientallen mensen stonden beteuterd te kijken
naar hun APC in hun rack.
Blijkbaar is er een massale attack vannacht geweest op het
Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
als je telnet toelaat op je APC.
Zet dus die telnet-mode af, en surf ;-)
Met beleefde groeten,
Olivier Baum
http://www.basm.be/
Olivier Baum
18/02/04, 19:25
On Wed, 18 Feb 2004 18:16:30 GMT, Olivier Baum <roger@moore.be> wrote:
>Zet dus die telnet-mode af, en surf ;-)
PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
patch uitbrengt voor hun firmware.
Met beleefde groeten,
Olivier Baum
http://www.basm.be/
"Olivier Baum" <roger@moore.be> schreef in bericht
news:u2b730diitf1ni8bv6k948mas2257oqti1@4ax.com...
> On Wed, 18 Feb 2004 18:16:30 GMT, Olivier Baum <roger@moore.be> wrote:
>
> >Zet dus die telnet-mode af, en surf ;-)
>
> PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
> netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
> patch uitbrengt voor hun firmware.
telenet uitgeschakeld? :P
Olivier Baum
18/02/04, 19:45
On Wed, 18 Feb 2004 19:26:47 +0100, "Lithion" <kickje@pi.be> wrote:
>> PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
>> netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
>> patch uitbrengt voor hun firmware.
>telenet uitgeschakeld? :P
Oeps typoke, telnet dus ;-)
Met beleefde groeten,
Olivier Baum
http://www.basm.be/
Serge van Ginderachter
18/02/04, 19:45
Olivier Baum wrote:
> Beste,
>
> http://article.gmane.org/gmane.comp.security.bugtraq/10209/match=apc
>
> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.
>
> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.
>
> Zet dus die telnet-mode af, en surf ;-)
>
> Met beleefde groeten,
> Olivier Baum
> http://www.basm.be/
Ik ontving vandaag deze security mail hierover:
> TITLE:
> APC SmartSlot Web/SNMP Management Card Default Password
>
> SECUNIA ADVISORY ID:
> SA10905
>
> VERIFY ADVISORY:
> http://secunia.com/advisories/10905/
>
> CRITICAL:
> Moderately critical
>
> IMPACT:
> System access
>
> WHERE:
> From local network
>
> OPERATING SYSTEM:
> APC AOS 3.x
>
> DESCRIPTION:
> Dave Tarbatt has reported a security issue in APC SmartSlot Web/SNMP
> Management Card, allowing malicious people to log into the device.
>
> The problem is that the equipment is shipped with an undocumented
> default password, which can be exploited to log into the device via
> telnet using any username.
>
> The default password is: "TENmanUFactOryPOWER".
>
> The security issue has been reported in AP9606 running AOS 3.2.1 and
> AOS 3.0.3. Other versions and other cards may also be affected.
>
> SOLUTION:
> Restrict access to ensure that only trusted IP addresses can access
> the device.
>
> PROVIDED AND/OR DISCOVERED BY:
> Dave Tarbatt
--
Serge van Ginderachter
The number of smart people you get impressed is a good way to measure
your marketing department.
</me>
Olivier Baum wrote:
> Beste,
>
> http://article.gmane.org/gmane.comp.security.bugtraq/10209/match=apc
>
> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.
>
> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.
We hebben telnet al vanaf maandag uitgezet op onze masterswitches. Vandaag
even telefoontje gedaan naar APC:
Backdoor paswoord gepubliceerd? Hazo. Dat wist ik niet. Even wachten aub ik
vraag het even na. Ja de enige oplossing is om telnet uit te schakelen maar
probeer het niet in de laatste firmware versie want daar werkt de functie
om telnet uit te schakelen niet. En wanneer komt er een fatsoenlijke
oplossing? Oh geen idee.
Had toch een iets betere opvolging verwacht van APC (en geen soft met
backdoors).
Bram.
Olivier Baum
18/02/04, 20:45
On Wed, 18 Feb 2004 19:33:14 GMT, brambi <bramNOSPAM@bram.be> wrote:
>Had toch een iets betere opvolging verwacht van APC (en geen soft met
>backdoors).
Snap er de logica ook niet van.
Nu is het voldoende dat ze de verkeerde mens bij APC ontslagen, om
wereldwijd serieuze gevolgen te kunnen hebben.
>Bram.
Met beleefde groeten,
Olivier Baum
http://www.basm.be/
frank@openminds.be
18/02/04, 21:05
Olivier Baum <roger@moore.be> wrote:
> Beste,
> http://article.gmane.org/gmane.comp.security.bugtraq/10209/match=apc
> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.
> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.
K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
telnet access af te zetten.
Ik heb trouwens naar APC tech support gemailed, en er zal normaal morgen
of overmorgen nieuwe firmware zijn, ik hoop voor alle betrokken
modellen. Ik heb 2 verschillende types apc toestellen, geen enkel komt
voor in die posting, maar ze zijn wel alle 2 kwetsbaar.
Vriendelijke groeten,
Frank Louwers
--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium
Serge van Ginderachter
18/02/04, 21:15
frank@openminds.be wrote:
> K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
> telnet access af te zetten.
Hoe heb je dat gedaan? Of heb ik een post van je gemist?
--
Serge van Ginderachter
The number of smart people you get impressed is a good way to measure
your marketing department.
</me>
frank@openminds.be
18/02/04, 21:25
Serge van Ginderachter <pliesdoenotabjoes.serge@vanginderachter.be.thisadd ressis.invalid> wrote:
> frank@openminds.be wrote:
>> K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
>> telnet access af te zetten.
> Hoe heb je dat gedaan? Of heb ik een post van je gemist?
op mijn firewall de telnet poort geblokkeerd naar de apc's :)
Maar ik dacht wel dat het op die van mij via de menuinterface wel
ging...
Vriendelijke groeten,
Frank Louwers
--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium
Serge van Ginderachter
18/02/04, 21:55
frank@openminds.be wrote:
>>>K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
>>>telnet access af te zetten.
>>Hoe heb je dat gedaan? Of heb ik een post van je gemist?
> op mijn firewall de telnet poort geblokkeerd naar de apc's :)
> Maar ik dacht wel dat het op die van mij via de menuinterface wel
> ging...
Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.
( btw: still waiting... ;) )
--
Serge van Ginderachter
The number of smart people you get impressed is a good way to measure
your marketing department.
</me>
> Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
> ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.
Ik gok dat hij de security mail ontving of ervan hoorde via iemand anders?
Serge van Ginderachter
18/02/04, 22:15
Sorcerer wrote:
>>Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
>>ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.
> Ik gok dat hij de security mail ontving of ervan hoorde via iemand anders?
In beide gevallen is dat niet 'voorspellen' ;)
--
Serge
"Serge van Ginderachter"
<pliesdoenotabjoes.serge@vanginderachter.be.thisadd ressis.invalid> wrote in
message news:VyQYb.6225$V96.200767@phobos.telenet-ops.be...
> Sorcerer wrote:
>
> >>Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
> >>ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.
>
> > Ik gok dat hij de security mail ontving of ervan hoorde via iemand
anders?
>
> In beide gevallen is dat niet 'voorspellen' ;)
>
Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
Leaseweb is gebruikt...
Le-zen ;)
Groeten,
Ruud
frank@openminds.be
18/02/04, 23:35
Sorcerer <just@sk.me> wrote:
> Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
> Leaseweb is gebruikt...
> Le-zen ;)
dank u sorcerer :)
En van zodra je zo'n advisory ziet, weet je dat het lachen geblazen gaat
zijn:
- ge kunt 'blinkenlights' spelen met andermans servers! (aan ... uit ...
aan ... uit ...)
- APC heeft met zijn masterswitches een gigantisch marktaandeel in
datacenters, dus veel devices te vinden
- geen vendor patch
- eenvoudige attack
- t is zeer eenvoudig scriptable
- t "plezant"
Vriendelijke groeten,
Frank Louwers
--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium
In article <c10paj$1crqmb$1@ID-103399.news.uni-berlin.de>,
frank@openminds.be wrote:
> Sorcerer <just@sk.me> wrote:
>
>
> > Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
> > Leaseweb is gebruikt...
> > Le-zen ;)
>
> dank u sorcerer :)
>
> En van zodra je zo'n advisory ziet, weet je dat het lachen geblazen gaat
> zijn:
>
> - ge kunt 'blinkenlights' spelen met andermans servers! (aan ... uit ...
> aan ... uit ...)
> - APC heeft met zijn masterswitches een gigantisch marktaandeel in
> datacenters, dus veel devices te vinden
> - geen vendor patch
> - eenvoudige attack
> - t is zeer eenvoudig scriptable
> - t "plezant"
>
>
> Vriendelijke groeten,
> Frank Louwers
't is vooral plezant omdat er in die dingen meestal een behoorlijk luide
beeper zit :-)
Kwestie van de nachtploeg wakker te houden...
--
Considering the number of wheels Microsoft has found reason
to invent, one never ceases to be baffled by the minuscule
number whose shape even vaguely resembles a circle.
frank@openminds.be
19/02/04, 09:55
Cyrano <cyrano.mac@techemail.com> wrote:
> 't is vooral plezant omdat er in die dingen meestal een behoorlijk luide
> beeper zit :-)
> Kwestie van de nachtploeg wakker te houden...
Bij InterXion is er zoveel dat piept en in alarm staat blijkbaar, k
denk niet dat het opvalt :)
BTW: piepen die dingen? nog niet meegemaakt...
Vriendelijke groeten,
Frank Louwers
--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium
In article <c11thi$1d4m3h$1@ID-103399.news.uni-berlin.de>,
frank@openminds.be wrote:
> Cyrano <cyrano.mac@techemail.com> wrote:
>
> > 't is vooral plezant omdat er in die dingen meestal een behoorlijk luide
> > beeper zit :-)
>
> > Kwestie van de nachtploeg wakker te houden...
>
> Bij InterXion is er zoveel dat piept en in alarm staat blijkbaar, k
> denk niet dat het opvalt :)
>
> BTW: piepen die dingen? nog niet meegemaakt...
>
>
> Vriendelijke groeten,
> Frank Louwers
Alleen als de stroom uitvalt. Een paar jaar terug was er iets
gelijkaardig met die APC's en toen kon je die doen piepen...
Maar ja, als je volledige access hebt, kan je ermee doen wat je wil,
zeker?
--
Considering the number of wheels Microsoft has found reason
to invent, one never ceases to be baffled by the minuscule
number whose shape even vaguely resembles a circle.
frank@openminds.be
19/02/04, 11:35
Cyrano <cyrano.mac@techemail.com> wrote:
> Maar ja, als je volledige access hebt, kan je ermee doen wat je wil,
> zeker?
blinkenlights!
:)
Vriendelijke groeten,
Frank Louwers
--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium
Jan Reilink
19/02/04, 14:25
frank@openminds.be wrote:
> Sorcerer <just@sk.me> wrote:
>
>>Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
>>Leaseweb is gebruikt...
>>Le-zen ;)
>
> dank u sorcerer :)
>
> En van zodra je zo'n advisory ziet, weet je dat het lachen geblazen gaat
> zijn:
>
> - ge kunt 'blinkenlights' spelen met andermans servers! (aan ... uit ...
> aan ... uit ...)
> - APC heeft met zijn masterswitches een gigantisch marktaandeel in
> datacenters, dus veel devices te vinden
> - geen vendor patch
> - eenvoudige attack
> - t is zeer eenvoudig scriptable
> - t "plezant"
>
En het feit dat telnet via de interface niet te disablen is "houd het
spannend" :-)
--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV
Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234
frank@openminds.be wrote:
>>> K heb dus goed gegokt door zoiets te voorspellen gisteren, en
>>> preventief telnet access af te zetten.
> op mijn firewall de telnet poort geblokkeerd naar de apc's :)
> Maar ik dacht wel dat het op die van mij via de menuinterface wel
> ging...
ik snap het niet meer zo goed, stonden die UPS'en een 'publiek' netwerk ?
management interfaces van UPS'en, firewalls, routers en switches, die
verbind je toch niet met een publiek netwerk ? daarvoor heb je toch een
gescheiden 'management' netwerk ? of gaat bij leaseweb alles over 1 netwerk
? *slik*