Ernstige kwetsbaarheden in Enphase-zonnepanelen ontdekt
De patches komen beschikbaar voor versies 4.x.x tot en met 8.x.x van het Enphase IQ Gateway-platform. Via dit platform worden Enphase-(micro-)omvormers aangestuurd. Onderzoekers van het DIVD slaagden erin om de ontdekte kwetsbaarheden in het Enphase IQ-platform te misbruiken om op afstand commando’s uit te voeren.
Met zulke commando’s kunnen aanvallers de zonnepaneelsystemen van Enphase op afstand bedienen. Op die manier kan een omvormer of een heel systeem op afstand worden platgelegd. De kwetsbaarheden zouden zodoende misbruikt kunnen worden om de energievoorziening plat te leggen of juist te overbelasten.
Onderzoekers van het DIVD menen dat het ook ‘relatief gemakkelijk’ was om de kwetsbaarheid op grote schaal te misbruiken. Met een algoritme kan dat proces worden geautomatiseerd om razendsnel miljoenen Enphase-systemen over te nemen, zeggen de onderzoekers tegen Follow the Money. Nu er patches worden uitgerold, begint dat risico langzaam af te nemen.
Enphase-authenticatiesysteem
De fabrikant rolde eerder al een bugfix uit voor een ernstige kwetsbaarheid in het Enphase-authenticatiesysteem, melden de onderzoekers. Het lukte hen namelijk eerder om zichzelf beheerder te maken van andermans account, zonder hiervoor toestemming te krijgen. Enphase werd hiervan op de hoogte gebracht, waarna de kwetsbaarheid werd opgelost.
Toch zijn nog niet alle zorgen weggenomen bij het DIVD. Ze raden het af om zonnesystemen van de Amerikaanse omvormerfabrikant aan te sluiten op niet-vertrouwde netwerken. Waar dat mee te maken heeft, laten de onderzoekers in het midden. Tegelijkertijd is er ook maar weinig reden om je Enphase-omvormers met een onbekend netwerk te verbinden; ze bevinden zich immers bij jou thuis, vlak bij je eigen wifirouter.
Installeer de beveiligingsupdate
Enphase rolt al sinds 12 juli updates uit voor de betrokken apparaten. Via het IQ-platform kun je controleren of de meest recente versie van het Enphase-platform is geïnstalleerd. Inmiddels zou de update beschikbaar moeten zijn voor alle getroffen zonnepaneelsystemen.
