Danfoss AK-SM800A dính loạt lỗi RCE, hàng trăm thiết bị phơi ra Internet

Các đợt tấn công mạng nhắm vào bộ điều khiển tủ lạnh phơi nhiễm Internet của Danfoss và Copeland đã lan khắp châu Âu từ ngày 11/10, gây ra các chu trình xả đá ngoài ý muốn, thiệt hại hàng chục triệu euro vì thực phẩm hỏng và thậm chí gây cháy trong một số trường hợp. Giữa bối cảnh đó, nhà nghiên cứu Carlo Meijer của Midnight Blue công bố đã tìm ra 6 lỗ hổng thực thi mã từ xa trước xác thực (pre-authentication RCE) dạng zero-day trên dòng Danfoss AK-SM800A, chỉ với chưa đầy một giờ rà soát thủ công firmware phiên bản mới nhất 5.3.2.

Điều đáng chú ý là các lỗ hổng này không cần công cụ đặc biệt: tác giả nhấn mạnh không cần đến AI, chỉ đọc mã và thử nghiệm thủ công là đủ phát hiện.

Bối cảnh: lỗ hổng cũ, thiệt hại mới

Trước các đợt tấn công bắt đầu từ Pháp, nhiều lỗ hổng đã được ghi nhận trên các dòng sản phẩm Danfoss gồm AK SM-800, AK SM-800A và AK-EM100, do SynAcktiv (năm 2023), Claroty (năm 2025) và DIVD/HackDefense (năm 2023) công bố.

Danh sách này gồm lỗ hổng bỏ qua xác thực bằng "code-of-the-day" (CVE-2025-41450), chèn lệnh hệ điều hành (CVE-2023-25915, CVE-2025-41451) và duyệt đường dẫn (path traversal, CVE-2023-25914) trên AK-SM800A, cùng SQL injection (CVE-2023-22583) và chèn lệnh hệ điều hành (CVE-2023-25911) trên AK-EM100 đã hết vòng đời.

Theo Midnight Blue, tất cả đều "dễ phát hiện và khai thác đến mức đáng kinh ngạc". Bản khai thác chứng minh khái niệm (PoC) công khai đầu tiên xuất hiện trong vòng 48 giờ sau đợt tấn công tại Pháp, trước cả đợt tấn công thứ hai vào ngày 2/11.

Dữ liệu từ Censys cho thấy vẫn còn hàng trăm hệ thống Danfoss phơi ra Internet (dù không ít trong số đó có thể là honeypot), hơn 1.000 bộ điều khiển Copeland và Dixell, cùng hàng trăm thiết bị của các hãng tương tự như Eliwell chưa từng bị nhắm tới nhưng vẫn mở công khai.

Sáu lỗ hổng trong một giờ đọc code

Nhóm nghiên cứu tải firmware AK-SM800A từ website Danfoss, giải nén các tệp nhị phân ARM nén bằng 7-zip và dựng môi trường giả lập. Thiết bị chạy Danux — một bản phân phối Linux Yocto tùy biến — trên vi xử lý i.MX6. Phần lõi là sm_app, một ứng dụng nguyên khối gần như điều hành toàn bộ hoạt động của thiết bị, được mô tả như một hệ điều hành thời gian thực (RTOS) thu nhỏ chạy trong tiến trình người dùng, với danh sách 52 tác vụ.

Ngay từ những bước đầu, tác giả chỉ ra hai vấn đề lớn về chất lượng mã nguồn:

• Lạm dụng strcpy: hàm này không có tham số kích thước, cứ chép byte cho tới khi gặp ký tự null, nên là nguồn gốc kinh điển của lỗi ghi bộ nhớ. Hàng trăm lệnh gọi strcpy nằm trong các hàm xử lý có thể truy cập từ bên ngoài mà không cần xác thực.
• Thiếu cơ chế giảm thiểu khai thác: stack canary và PIE (Position Independent Executable) đều không được bật, dù chỉ cần một cờ biên dịch để bật. Ubuntu đã bật mặc định từ 17.10.

Trong các bản firmware cũ, từng hàm xử lý tự chịu trách nhiệm xác thực thay vì xác thực tập trung, khiến bề mặt tấn công trước xác thực phình to không cần thiết. Từ bản 4.0, Danfoss mặc định bật chế độ session control ở mức "strict", chặn gần như toàn bộ bề mặt web với người dùng chưa xác thực — đây cũng là biện pháp được CERT-FR khuyến nghị.

Tuy vậy, chính cơ chế này cũng có lỗi. Thành phần sm_fcgi_app hoạt động như một tường lửa ứng dụng web (WAF), chỉ chuyển tiếp lệnh getauth khi người dùng chưa xác thực. Tác giả phát hiện thêm một lỗi tràn bộ đệm dựa trên strcpy ở đây, và khi chạy thử trên firmware 5.3.2 với session control nghiêm ngặt vẫn gây SEGFAULT, có thể nâng thành RCE trước xác thực.

Đáng chú ý, các tiêu chuẩn chứng nhận không phản ánh được tình trạng thực tế. Nhiều đơn vị kinh doanh của Danfoss, gồm Climate Solutions và Electronic Controllers, được cấp chứng nhận IEC 62443-4-1 cho vòng đời phát triển sản phẩm an toàn và công bố rộng rãi, đồng thời nêu IEC 62443-4-2 là khung định hướng thiết kế yêu cầu an ninh mạng. Tác giả kết luận những chứng nhận này "nói rất ít" về mức độ an toàn thực tế của sản phẩm.

Hệ quả nghiêm trọng hơn xả đá

Kịch bản xấu nhất không dừng ở việc làm hỏng một lô thực phẩm. Với quyền truy cập ở mức hệ điều hành, kẻ tấn công có thể cài implant (mã độc ẩn) tồn tại qua cả khôi phục cài đặt gốc lẫn cập nhật firmware — cách mà các mã độc SALTWATER/SEASPY trên thiết bị Barracuda, FIRESTARTER trên thiết bị Cisco và mã độc SonicWall từng làm được. Từ đó chúng có thể giữ quyền truy cập từ xa, kích hoạt tải trọng theo thời gian cho đòn thứ hai, hoặc xóa bộ nhớ flash và đẩy bản firmware lỗi khiến thiết bị "chết cứng" vĩnh viễn.

Khả năng này càng dễ xảy ra vì AK-SM800A không dùng tính năng secure boot (khởi động an toàn) của vi xử lý i.MX6 — điều được xác nhận qua các thanh ghi cầu chì lập trình một lần (OTP). Với thiết bị đã bị nhiễm ở mức firmware, việc phát hiện gần như bất khả thi nếu không có công cụ điều tra chuyên sâu.

Góc nhìn

Với các kỹ sư và doanh nghiệp vận hành thiết bị công nghiệp — đặc biệt nhóm bán lẻ thực phẩm, kho lạnh, chuỗi siêu thị — bài học ở đây là thứ tự ưu tiên. Vá lỗi từng phần và bật session control nghiêm ngặt không giải quyết được gốc rễ khi mã nguồn thiếu các cơ chế giảm thiểu cơ bản và liên tục lộ lỗi trước xác thực. Việc cắt phơi nhiễm Internet — qua VPN, APN riêng hoặc danh sách IP cho phép (ACL) hạn chế chặt — nên được đặt lên trước.

Một điểm đáng suy ngẫm cho đội ngũ mua sắm và tích hợp hệ thống: chứng nhận tuân thủ tiêu chuẩn không đồng nghĩa với sản phẩm an toàn trong thực tế. Khi đánh giá thiết bị OT, cần kiểm tra trực tiếp các yếu tố kỹ thuật như có bật canary và PIE hay không, có dùng secure boot hay không, thay vì chỉ dựa vào hồ sơ chứng nhận. Với các đơn vị phát triển phần mềm nhúng, câu chuyện này cũng là lời nhắc: bật các cờ bảo vệ bộ nhớ là việc gần như miễn phí, còn bỏ qua chúng là món nợ kỹ thuật có thể bị đòi bằng chính sự cố vận hành.