Onderwerp: apc exploit

Beste,

http://article.gmane.org/gmane.comp....0209/match=apc

Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
enigen met problemen: tientallen mensen stonden beteuterd te kijken
naar hun APC in hun rack.

Blijkbaar is er een massale attack vannacht geweest op het
Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
als je telnet toelaat op je APC.

Zet dus die telnet-mode af, en surf ;-)

Met beleefde groeten,
Olivier Baum
http://www.basm.be/

On Wed, 18 Feb 2004 18:16:30 GMT, Olivier Baum <roger@moore.be> wrote:

>Zet dus die telnet-mode af, en surf ;-)

PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
patch uitbrengt voor hun firmware.

Met beleefde groeten,
Olivier Baum
http://www.basm.be/

"Olivier Baum" <roger@moore.be> schreef in bericht
news:u2b730diitf1ni8bv6k948mas2257oqti1@4ax.com...
> On Wed, 18 Feb 2004 18:16:30 GMT, Olivier Baum <roger@moore.be> wrote:
>
> >Zet dus die telnet-mode af, en surf ;-)
>
> PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
> netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
> patch uitbrengt voor hun firmware.

telenet uitgeschakeld? :P

On Wed, 18 Feb 2004 19:26:47 +0100, "Lithion" <kickje@pi.be> wrote:

>> PS : Leaseweb heeft uit veiligheid telenet uitgeschakeld op hun
>> netwerk. Maar dit kan dus voorvallen met elke APC, zolang APC geen
>> patch uitbrengt voor hun firmware.

>telenet uitgeschakeld? :P

Oeps typoke, telnet dus ;-)

Met beleefde groeten,
Olivier Baum
http://www.basm.be/

Olivier Baum wrote:
> Beste,
>
> http://article.gmane.org/gmane.comp....0209/match=apc
>
> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.
>
> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.
>
> Zet dus die telnet-mode af, en surf ;-)
>
> Met beleefde groeten,
> Olivier Baum
> http://www.basm.be/


Ik ontving vandaag deze security mail hierover:

> TITLE:
> APC SmartSlot Web/SNMP Management Card Default Password
>
> SECUNIA ADVISORY ID:
> SA10905
>
> VERIFY ADVISORY:
> http://secunia.com/advisories/10905/
>
> CRITICAL:
> Moderately critical
>
> IMPACT:
> System access
>
> WHERE:
> From local network
>
> OPERATING SYSTEM:
> APC AOS 3.x
>
> DESCRIPTION:
> Dave Tarbatt has reported a security issue in APC SmartSlot Web/SNMP
> Management Card, allowing malicious people to log into the device.
>
> The problem is that the equipment is shipped with an undocumented
> default password, which can be exploited to log into the device via
> telnet using any username.
>
> The default password is: "TENmanUFactOryPOWER".
>
> The security issue has been reported in AP9606 running AOS 3.2.1 and
> AOS 3.0.3. Other versions and other cards may also be affected.
>
> SOLUTION:
> Restrict access to ensure that only trusted IP addresses can access
> the device.
>
> PROVIDED AND/OR DISCOVERED BY:
> Dave Tarbatt


--

Serge van Ginderachter


The number of smart people you get impressed is a good way to measure
your marketing department.
</me>

Olivier Baum wrote:

> Beste,
>
> http://article.gmane.org/gmane.comp....0209/match=apc
>
> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.
>
> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.

We hebben telnet al vanaf maandag uitgezet op onze masterswitches. Vandaag
even telefoontje gedaan naar APC:
Backdoor paswoord gepubliceerd? Hazo. Dat wist ik niet. Even wachten aub ik
vraag het even na. Ja de enige oplossing is om telnet uit te schakelen maar
probeer het niet in de laatste firmware versie want daar werkt de functie
om telnet uit te schakelen niet. En wanneer komt er een fatsoenlijke
oplossing? Oh geen idee.

Had toch een iets betere opvolging verwacht van APC (en geen soft met
backdoors).

Bram.

On Wed, 18 Feb 2004 19:33:14 GMT, brambi <bramNOSPAM@bram.be> wrote:

>Had toch een iets betere opvolging verwacht van APC (en geen soft met
>backdoors).

Snap er de logica ook niet van.
Nu is het voldoende dat ze de verkeerde mens bij APC ontslagen, om
wereldwijd serieuze gevolgen te kunnen hebben.

>Bram.

Met beleefde groeten,
Olivier Baum
http://www.basm.be/

Olivier Baum <roger@moore.be> wrote:
> Beste,

> http://article.gmane.org/gmane.comp....0209/match=apc

> Vanmorgen probeerde ik op onze apc te komen, en hij wou niet meer
> reageren. We rijden naar Amsterdam, en blijkbaar waren we niet de
> enigen met problemen: tientallen mensen stonden beteuterd te kijken
> naar hun APC in hun rack.

> Blijkbaar is er een massale attack vannacht geweest op het
> Leaseweb-netwerk op de APC's, en worden telkens alle gegevens
> gewijzigd, soms servers afgezet, etc. Dit is gelukkig enkel het geval
> als je telnet toelaat op je APC.

K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
telnet access af te zetten.

Ik heb trouwens naar APC tech support gemailed, en er zal normaal morgen
of overmorgen nieuwe firmware zijn, ik hoop voor alle betrokken
modellen. Ik heb 2 verschillende types apc toestellen, geen enkel komt
voor in die posting, maar ze zijn wel alle 2 kwetsbaar.

Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium

frank@openminds.be wrote:


> K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
> telnet access af te zetten.

Hoe heb je dat gedaan? Of heb ik een post van je gemist?


--

Serge van Ginderachter


The number of smart people you get impressed is a good way to measure
your marketing department.
</me>

Serge van Ginderachter <pliesdoenotabjoes.serge@vanginderachter.be.thisad dressis.invalid> wrote:
> frank@openminds.be wrote:


>> K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
>> telnet access af te zetten.

> Hoe heb je dat gedaan? Of heb ik een post van je gemist?

op mijn firewall de telnet poort geblokkeerd naar de apc's
Maar ik dacht wel dat het op die van mij via de menuinterface wel
ging...



Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium

frank@openminds.be wrote:

>>>K heb dus goed gegokt door zoiets te voorspellen gisteren, en preventief
>>>telnet access af te zetten.

>>Hoe heb je dat gedaan? Of heb ik een post van je gemist?

> op mijn firewall de telnet poort geblokkeerd naar de apc's
> Maar ik dacht wel dat het op die van mij via de menuinterface wel
> ging...

Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.



( btw: still waiting... )

--

Serge van Ginderachter


The number of smart people you get impressed is a good way to measure
your marketing department.
</me>

> Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
> ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.

Ik gok dat hij de security mail ontving of ervan hoorde via iemand anders?

Sorcerer wrote:

>>Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
>>ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.

> Ik gok dat hij de security mail ontving of ervan hoorde via iemand anders?

In beide gevallen is dat niet 'voorspellen'


--

Serge

"Serge van Ginderachter"
<pliesdoenotabjoes.serge@vanginderachter.be.thisad dressis.invalid> wrote in
message news:VyQYb.6225$V96.200767@phobos.telenet-ops.be...
> Sorcerer wrote:
>
> >>Ik bedoelde dus wel hoe je dat voorspeld had, en dan nog net de dag
> >>ervoor... Dus 'hoe wist je de oorzaak', niet 'hoe heb je het opgelost'.
>
> > Ik gok dat hij de security mail ontving of ervan hoorde via iemand
anders?
>
> In beide gevallen is dat niet 'voorspellen'
>

Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
Leaseweb is gebruikt...
Le-zen

Groeten,
Ruud

Sorcerer <just@sk.me> wrote:


> Hij voorspelde dus dat deze exploit zou worden misbruikt, zoals nu ook bij
> Leaseweb is gebruikt...
> Le-zen

dank u sorcerer

En van zodra je zo'n advisory ziet, weet je dat het lachen geblazen gaat
zijn:

- ge kunt 'blinkenlights' spelen met andermans servers! (aan ... uit ...
aan ... uit ...)
- APC heeft met zijn masterswitches een gigantisch marktaandeel in
datacenters, dus veel devices te vinden
- geen vendor patch
- eenvoudige attack
- t is zeer eenvoudig scriptable
- t "plezant"


Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium