Центр кибербезопасности Бельгии (CCB) предупредил о шести zero-day в контроллере Danfoss AK-SM800A: они позволяют выполнить код до аутентификации. Затронуты все версии прошивки до 5.3.2 включительно. Атакующий может полностью захватить устройство, закрепиться в нём, в том числе после сброса, или сделать контроллер неработоспособным. CCB призывает не ждать патчей и немедленно убрать прямой доступ к интерфейсам управления из интернета. Danfoss уже выпустила версию 5.4.0, но перед загрузкой вендор требует прочитать и подтвердить readme.
Что нашли исследователи
Danfoss AK-SM800A - контроллер управления холодильными системами для супермаркетов, складов и распределительных центров. Через его интерфейс настраивают температуру, графики разморозки и удалённый доступ, поэтому компрометация устройства бьёт по всей холодильной цепочке.
Шесть уязвимостей нашёл исследователь Midnight Blue Карло Мейер (Carlo Meijer). Все они относятся к переполнению стека и позволяют удалённо выполнить код без входа в систему и без действующих учётных данных. По словам исследователя, на поиск ушло меньше часа ручного разбора последней на тот момент прошивки 5.3.2. Технические детали и точные точки входа публично не раскрываются: идёт согласованное раскрытие с Danfoss, идентификаторы CVE на момент публикации ещё не присвоены.
Причина ошибок - системная. В коде массово используется strcpy без контроля длины, в бинарниках нет stack canary и PIE, а уязвимое приложение работает с правами root. С такой комбинацией переполнение стека на ARM превращается в выполнение кода без серьёзных препятствий. Аналогичная проблема нашлась и в механизме строгого контроля сессий: отдельный компонент, который проверяет аутентификацию перед передачей запросов, сам содержит переполнение, срабатывающее до входа в систему.
Последствия выходят за пределы разовой атаки. Через полученный доступ можно менять параметры и запускать разморозку, скрывая действия от журналов. Отсутствие secure boot позволяет оставить имплант, который переживёт сброс к заводским настройкам и обновление прошивки. Другой сценарий - затереть флеш-память или подсунуть повреждённую прошивку и превратить контроллер в нерабочий кирпич, который придётся физически менять.
Атаки на холодильные системы
Публикация появилась на фоне волн атак на холодильные контроллеры в Европе. Первая началась во Франции 11 октября 2026 года, вторая с 2 ноября 2026 года охватила супермаркеты и холодные склады по всей Европе. Атаковали интерфейсы управления, доступные из интернета, включая устройства Danfoss, Dixell xweb и Copeland xweb. Результат - несанкционированные разморозки, испорченный товар и перебои с поставками.
По оценке Midnight Blue, ущерб от испорченных продуктов исчисляется десятками миллионов евро, а в некоторых случаях дело доходило до пожаров. Исследователи также отмечают, что в сети остаются сотни открытых систем Danfoss и больше тысячи контроллеров Copeland и Dixell. CCB подтвердил, что в Бельгии уже фиксировали инциденты с холодильным оборудованием.
Почему патчи и пароли не закрывают риск
CCB прямо предупреждает: обновление прошивки, смена паролей по умолчанию и включение строгого контроля сессий сами по себе не защищают контроллер, доступный из интернета. Уязвимость есть и в самом механизме контроля сессий, поэтому строгий режим не устраняет риск.
Midnight Blue придерживается той же логики. Исследователи считают, что точечные патчи такого кода дают меньше пользы, чем отказ от интернет-доступа. К тому же последствия компрометации плохо обратимы: имплант может пережить сброс, а восстановление после подмены прошивки требует выезда специалиста.
Версии и исправление
Уязвимы все версии AK-SM800A до 5.3.2 включительно. На момент публикации исследования исправлений не было, а номера CVE оставались в статусе ожидания. Вскоре Danfoss выпустила прошивку 5.4.0 для немедленной загрузки. Вендор требует перед скачиванием прочитать и подтвердить readme, где описаны изменения по безопасности в этом выпуске.
Покрывает ли 5.4.0 все шесть найденных ошибок, из открытых материалов однозначно не следует: детали раскрытия ещё не опубликованы. Поэтому обновление стоит ставить, но не как замену отказу от прямого доступа. В истории этих контроллеров уже были обход аутентификации, инъекции команд и обход путей, которые исправляли в ветках 4.x, так что нынешний эпизод - продолжение старой проблемы, а не единичный случай.
Что делать
Первое и главное - убрать интерфейсы управления из публичного интернета. CCB называет это единственным реальным решением и просит не откладывать его до выхода патчей. Удалённый доступ допустим только через актуальный VPN-шлюз, частный APN или жёсткий список разрешённых IP-адресов. Обычный 4G- или 5G-модем защитой не считается: если интерфейс остаётся доступен через него, устройство всё ещё открыто.
Затем стоит проверить конфигурацию целиком: температурные уставки, графики разморозки, учётные записи пользователей и настройки удалённого доступа. Перед тем как отключать передачу данных сервисному провайдеру, CCB советует свериться с контрактом и требованиями страховки, а защищённый удалённый доступ организовать так, чтобы мониторинг продолжался. В качестве временной меры допускается фильтрация на межсетевом экране по IP-адресам провайдеров холодильного оборудования, но надолго она не годится.
Отдельно CCB просит обратить внимание на оборудование, снятое с поддержки: такие контроллеры нужно менять в первую очередь. О любом подтверждённом взломе следует сообщить в CCB через портал для инцидентов.
Последовательность действий выглядит так: инвентаризация контроллеров, снятие прямого интернет-доступа, проверка конфигурации и журналов, затем обновление до 5.4.0 после чтения readme и повторная проверка внешней доступности. Если есть признаки компрометации, стоит привлечь специалистов по реагированию и сообщить в CCB.
Ссылки
- https://ccb.belgium.be/advisories/warning-six-new-danfoss-vulnerabilities-refrigeration-controllers-risk-immediate-action
- https://www.midnightblue.nl/blog/multiple-rce-danfoss-aksm800a
- https://www.danfoss.com/en-us/service-and-support/downloads/dcs/adap-kool-software/ak-sm-800a/
