Quando una scheda UPS diventa il ventre molle di un’intera sala di controllo

I difensori industriali spesso si concentrano sull’UPS in sé, come sull’elemento che mantiene in vita le macchine durante un’interruzione. Il rischio più insidioso si trova un livello sopra: la scheda di gestione che consente agli operatori di monitorare, amministrare e coordinare le risposte da remoto. Nella WebPro SNMP Card PowerValue di ABB, è proprio in quel livello che autenticazione, gestione delle sessioni e logica di protocollo sono crollate tutte insieme.

Fatti rapidi

• ABB ha divulgato tre vulnerabilità nella scheda di gestione WebPro SNMP Card PowerValue per sistemi UPS.
• CVE-2025-4676 interessa la web HMI e controlla solo il primo carattere di un cookie di sessione e di un token di autenticazione.
• CVE-2025-4675 può rendere instabile il servizio Modbus sulla porta 502 fino a quando il dispositivo non viene riavviato manualmente.
• CVE-2025-4677 lascia sessioni inattive non chiuse sulle porte 23 e 502, con possibile esaurimento delle risorse e interruzione della disponibilità.
• ABB afferma che la versione firmware 1.1.8.p corregge i problemi e raccomanda di aggiornare i dispositivi interessati.

Il vero bersaglio è il piano di controllo

ABB descrive la WebPro SNMP Card PowerValue come un componente di gestione basato sul web usato per monitorare e amministrare i prodotti UPS. Questo è importante perché i dispositivi del piano di gestione non sono semplici accessori passivi; spesso determinano ciò che gli amministratori possono vedere, ciò che possono modificare e quanto in modo sicuro un sito può reagire quando manca l’alimentazione. Se un attaccante raggiunge quel livello, l’impatto può essere operativo più che puramente tecnico.

Il problema più preoccupante è CVE-2025-4676. La falla risiede nel percorso di autenticazione della web HMI e valida solo il primo carattere del cookie di sessione e del token di autenticazione. Un controllo parziale di questo tipo può trasformare l’identità in una quasi formalità se l’attaccante ha già accesso alla rete del dispositivo. L’avviso collega il bug all’accesso non autorizzato, e si inserisce nel classico schema di logica di autenticazione errata.

Le altre due criticità colpiscono la disponibilità da angolazioni diverse. CVE-2025-4675 è un problema di implementazione Modbus che può rendere instabile la porta 502 e lasciare il servizio indisponibile fino a un riavvio manuale. CVE-2025-4677 lascia sessioni inattive sulle porte 23 e 502 senza una corretta gestione del timeout, permettendo a connessioni ripetute di accumularsi e consumare risorse. In un contesto industriale, questo può significare la perdita di monitoraggio o di gestione proprio nel momento peggiore.

C’è però un confine importante: l’avviso afferma che un attaccante dovrebbe avere accesso alla rete del nodo di sistema interessato. Al momento della pubblicazione, ABB ha dichiarato che i problemi non erano stati divulgati pubblicamente e di non aver ricevuto segnalazioni di sfruttamento. Questo non riduce la gravità dei bug; chiarisce il modello di minaccia. Si tratta di un problema per un dispositivo raggiungibile, non di una storia di compromissione remota “magica”.

Per i difensori, la lezione è semplice. Trattate le schede di gestione UPS come asset amministrativi di alto valore, mantenetele segmentate, verificate se qualche dispositivo è ancora su una versione firmware interessata e confermate che la gestione delle sessioni si comporti come previsto dopo la correzione. Negli ambienti di controllo, una piccola interfaccia può diventare un grande collo di bottiglia operativo.

Conclusione

Questo caso ricorda che il rischio per le infrastrutture critiche spesso si nasconde nel livello di gestione, non nell’hardware in prima pagina. Quando l’autenticazione è debole, le sessioni rimangono aperte e i protocolli industriali sono gestiti male, il dispositivo che dovrebbe preservare il controllo può diventare il punto in cui il controllo sfugge di mano.

TECHCROOK

alimentatore di continuità (UPS): Un UPS fornisce alimentazione di backup a batteria e protezione contro le sovratensioni per computer, router e piccoli server. È una scelta pratica per mantenere in funzione le apparecchiature essenziali durante brevi interruzioni, cali di tensione e spegnimenti sicuri in ambito domestico o d’ufficio.

WIKICROOK

• Piano di gestione: Il livello dell’interfaccia amministrativa usato per monitorare, configurare o controllare un dispositivo.
• Bypass dell’autenticazione: Una falla che consente a un attaccante di saltare o indebolire i controlli dell’identità e raggiungere funzioni protette.
• Modbus/TCP: Un protocollo di comunicazione industriale legacy comunemente associato alla porta TCP 502.
• Timeout della sessione inattiva: Una regola che termina le sessioni inattive dopo un periodo prestabilito per ridurre il riutilizzo e l’accumulo di risorse.
• Esaurimento delle risorse: Una condizione di denial-of-service in cui connessioni, memoria o altri limiti vengono consumati fino al fallimento del servizio.