Midnight Blue vindt zes RCE-lekken in Danfoss AK-SM800A

De Danfoss AK-SM800A bevat volgens Midnight Blue zes kwetsbaarheden waarmee aanvallers zonder inloggen code kunnen uitvoeren. Alle firmwareversies tot en met 5.3.2 zijn volgens de onderzoekers kwetsbaar.

Een koelregelaar stuurt temperatuur en ontdooicycli aan in winkels, koelhuizen en voedselproductie. Overname kan voorraad, apparatuur en leveringen raken. De praktische vraag is hoe onderhoud op afstand kan blijven werken zonder een beheerinterface voor iedereen op internet open te zetten.

De melding noemt AK-SM800A tot en met 5.3.2

Midnight Blue classificeert de zes fouten als stack-buffer-overflows waarmee een aanvaller code op afstand kan uitvoeren zonder eerst in te loggen. Onderzoeker Carlo Meijer vond ze volgens de publicatie in minder dan een uur handmatige inspectie. Een stack-buffer-overflow ontstaat wanneer invoer buiten het geheugenblok terechtkomt dat een programma ervoor heeft gereserveerd. De kwetsbaarheden zitten volgens de onderzoekers in de Danfoss AK-SM800A, een systeembeheerder die meerdere koelregelaars binnen een installatie aanstuurt.

De onderzoekers noemen volledige overname van het apparaat, blijvende toegang die mogelijk een fabrieksreset overleeft, en blijvende uitval van de controller als mogelijke impact. De publicatie beschrijft geen bevestigde aanval waarin deze zes kwetsbaarheden zijn gebruikt.

De Danfoss-handleiding stelt dat Strict na installatie van softwarepakket 4.0.x standaard is en HTTPS en sessietokens vereist. Midnight Blue rapporteert daarnaast een pre-authenticatiefout in de sessiebeveiliging die ook met Strict actief te misbruiken was. Daarmee lost de instelling de nieuw gevonden route niet op. De exacte eindpunten en technische details blijven achterwege zolang de gezamenlijke melding aan Danfoss loopt. CVE-nummers zijn nog niet toegewezen.

De onderzoekers noemen alle versies tot en met 5.3.2 als geraakt, maar geven geen beginversie. Ook zeggen ze niet of een latere firmwareversie veilig is. De publicatie geeft de hoogste genoemde firmwareversie, maar niet het oudste getroffen versienummer of de status van nieuwere releases.

Eerdere Danfoss-fixes betroffen andere fouten

De AK-SM-serie heeft al een geschiedenis van beveiligingsupdates. In maart 2025 verholp patch 4.2 een authenticatiefout in AK-SM 8xxA-software van vóór versie 4.2. In augustus volgde versie 4.3.1 voor twee andere kwetsbaarheden, waaronder code-uitvoering na inloggen. Die advisories gaan over afzonderlijke fouten en zeggen niets over de zes nieuwe bevindingen.

De eerdere patchgeschiedenis voor AK-SM-regelaars koppelde versie 4.2 en 4.3.1 aan afzonderlijke kwetsbaarheden. Elke fix richtte zich op een bekende fout en een specifieke versiegrens. Niet onderzochte code viel buiten die patchbeschrijving.

Op 30 oktober meldde Danfoss dat softwarepakket 5.3.x beschikbaar was met algemene beveiligingsverbeteringen en updates. De aankondiging noemt geen exacte build, CVE of koppeling met deze zes fouten. Ze maakt dus niet duidelijk of de 5.3.x-update de bevindingen van Midnight Blue oplost.

De update van 11 november blijft ongematcht

Danfoss liet NOS op 11 november weten dat later die dag een software-update zou verschijnen om twee problemen te verhelpen. De fabrikant maakte tegenover de omroep niet duidelijk of die twee problemen dezelfde zijn als de zes die Midnight Blue vond. NOS schrijft ook dat Danfoss niet inhoudelijk op vragen over de nieuwe kwetsbaarheden inging.

De openbare Danfoss-lijst met beveiligingsadviezen noemt voor 2026 een advies over iC7-systemen, maar geen nieuwe melding voor de AK-SM800A. De advieslijst geeft geen versie- of correctieoverzicht voor deze zes fouten. Daardoor is de uitkomst van de software-update op basis van openbare advisories niet vast te stellen. Totdat Danfoss publiceert welke firmware deze kwetsbaarheden verhelpt, valt niet te zeggen of de update van 11 november de volledige reeks oplost.

De berichtgeving over eerdere aanvallen noemt oudere firmware waarvoor beschikbare updates niet overal waren geïnstalleerd; een deel van de apparatuur was bovendien al uit ondersteuning. Die informatie identificeert niet de kwetsbaarheden uit de huidige melding.

Bereikbaarheid blijft de operationele grens

CISA, de FBI en drie andere Amerikaanse diensten waarschuwden op 5 november voor wereldwijde aanvallen op koelregelaars; hun gezamenlijke factsheet noemt ongepatchte of publiek bereikbare systemen bij winkels en koelopslag als doelwit. De Belgische CCB meldde eerder incidenten met onder meer Danfoss AK-SM-regelaars waarvan beheerinterfaces vermoedelijk vanaf internet bereikbaar waren. De beschikbare berichtgeving koppelt die aanvallen niet aan deze nieuwe kwetsbaarheden.

Ook andere koelbesturingen zijn geraakt. Drie Britse vleesleveranciers meldden aanvallen via Copeland XWEB-systemen. The Record schreef dat firmware tot en met versie 1.12.1 kwetsbaar was en er sinds augustus een update beschikbaar was. In Groot-Brittannië werden drie vleesleveranciers en een fruitgroothandel geraakt via Copeland XWEB-koelregelaars. Die incidenten betreffen een andere productlijn. Ze laten zien dat software voor temperatuurbeheer voorraad en productie kan raken.

Midnight Blue wijst erop dat installateurs soms op afstand moeten kunnen meekijken vanwege onderhoudsafspraken, personeelstekorten of servicevoorwaarden. De onderzoekers adviseren om regelaars niet rechtstreeks aan internet te laten hangen en toegang via een VPN, private APN of zeer beperkte IP-toegang te regelen. Daarbij moeten ook modems en verbindingen van installateurs in de inventaris staan.

Voor bedrijven met koelinstallaties zijn firmwareversie en netwerkroute twee aparte gegevens in het onderhoudsregister. De zes bevindingen zijn gemeld in firmware tot en met 5.3.2, terwijl Danfoss de twee problemen uit zijn update nog niet aan die zes koppelt. De digitale toegang tot de regelaar blijft daardoor onderdeel van de fysieke continuïteit van de koelketen.