Заморозить контроллер, разморозить продукты: уязвимости в холодильных контроллерах Danfoss

Контроллеры Danfoss AK-SM 800A управляют холодильным оборудованием в супермаркетах, на складах-холодильниках и в коммерческих зданиях. Через единую веб-панель оператор следит за контурами охлаждения, задаёт пороги температуры, расписания и права пользователей. Именно эта централизованная роль делает панель заманчивой целью: взлом управления оборачивается вполне физическими последствиями.

Команда Claroty Team82 начала с простого вопроса — можно ли вообще дотянуться до таких устройств извне. Поиск по Shodan и Censys быстро дал ответ: по данным Censys, около 2765 контроллеров AK-SM 800A были доступны прямо из публичной сети, с характерным заголовком интерфейса StoreView. Администраторы выставляли консоль наружу ради удобного удалённого обслуживания — и тем самым снижали порог входа для атакующего.

Код дня

Разобрав прошивку, исследователи восстановили архитектуру встроенного веб-сервиса: внешний Nginx как обратный прокси, CGI-обработчики и внутренняя логика в отдельных процессах. В обработке запроса аутентификации (action="getauth") обнаружился скрытый путь. При определённых параметрах проверка пароля подменялась функцией check_code_of_day, которая сверяла присланное значение не с настроенным паролем администратора, а с «кодом дня», вычисленным из текущей даты устройства.

Team82 полностью восстановила алгоритм генерации этого кода. Любой, кто способен его воспроизвести, получает валидные учётные данные на произвольную дату и попадает в систему с полными правами администратора, минуя обычный вход (CVE-2025-41450).

От обхода входа к выполнению кода

Полный доступ к административному интерфейсу открыл десятки страниц настроек. Внимание привлекла конфигурация SMTP: пароль почтовой аутентификации без какой-либо фильтрации подставлялся в shell-команду операционной системы. Через это поле можно внедрить собственные директивы и добиться удалённого выполнения кода (CVE-2025-41451).

Отдельная находка касалась файла headers.conf, который включается во внешнюю конфигурацию Nginx. Веб-приложение позволяло аутентифицированному пользователю заменить этот файл и перезагрузить Nginx на лету. Так можно было внедрить произвольные маршруты, а обращение к подставленному маршруту вызывало необработанное исключение в процессе sm_app и обрушивало веб-сервис — то есть устойчивый отказ в обслуживании (CVE-2025-41452).

Исправления

Danfoss, получив отчёт в рамках координированного раскрытия, выпустила прошивку R4.3.1, устраняющую описанные уязвимости. Владельцам контроллеров рекомендуют обновиться, не выставлять управляющие интерфейсы в интернет напрямую и ограничивать доступ доверенными сетями, VPN и сегментацией.

Источник: Lobsters