一、漏洞概述
不間斷電源（UPS）設備旨在保護資料中心、伺服器群和小型網路基礎設施在電力波動或停電時進行不間斷供電。APC（施耐德電氣旗下）是最受歡迎的UPS品牌之一，其產品廣泛應用於消費者和企業市場，包括政府、醫療保健、工業、IT 和零售基礎設施等。
2023年4月25日，啟明星辰VSRC監測到施耐德電氣（Schneider Electric）發佈安全公告，修復了施耐德電氣和APC Easy UPS 線上監控軟體中的多個安全漏洞，這些漏洞可能導致在未經身份驗證的情況下遠端執行程式碼、接管設備，或完全禁用設備功能。漏洞詳情如下：
CVE-2023-29411：Schneider Electric & APC Easy UPS驗證缺失漏洞（嚴重）
Schneider Electric和APC Easy UPS Online Monitoring Software中缺少對關鍵功能的身份驗證，可利用該漏洞更改管理員憑據並執行任意程式碼，而無需在 Java RMI 接口上進行身份驗證。
CVE-2023-29412：Schneider Electric & APC Easy UPS程式碼執行漏洞（嚴重）
Schneider Electric和APC Easy UPS Online Monitoring Software中存在大小寫處理不當，當通過 Java RMI 接口操縱內部方法時，可能導致遠端程式碼執行。
CVE-2023-29413：Schneider Electric & APC Easy UPS驗證缺失漏洞（高危）
Schneider Electric和APC Easy UPS Online Monitoring Software中缺少對關鍵功能的身份驗證，當未經身份驗證的使用者訪問 Schneider UPS Monitor 服務時可能導致拒絕服務。
二、影響範圍
APC Easy UPS Online Monitoring Software 版本：<= V2.5-GA-01-22320（Windows 10、11、Windows Server 2016、2019、2022)
Schneider Electric Easy UPS Online Monitoring Software版本：<= V2.5-GS-01-22320 （Windows 10、11、Windows Server 2016、2019、2022）
三、安全措施3.1 升級版本
受影響使用者可升級到以下版本：
Schneider Electric / APC Easy UPS Online Monitoring Software 版本：>= V2.5-GS-01-23036
APC下載連結（適用於Windows 10版本）：
https://download.schneider-electric.com/files?p_enDocType=Software+-+Release&p_Doc_Ref=APC_install_APC_UPS_windows
Schneider Electric下載連結（適用於Windows 10版本）：
https://download.schneider-electric.com/files?p_enDocType=Software+-+Release&p_Doc_Ref=Install_Schneider_UPS_windows
注：適用於Windows 11、Windows Server 2016、2019、2022的Easy UPS線上監控軟體的更新版本暫未發佈，受影響使用者可參考：
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-101-04&p_enDocType=Security%20and%20Safety%20Notice&p_File_Name=SEVD-2023-101-04.pdf
3.2 臨時措施
對於Windows（10、11）和Windows Server 2016、2019、2022，可直接訪問其Easy UPS設備的客戶可在所有受Easy UPS On-Line（SRV、SRVL型號）保護的伺服器上升級到PowerChute Serial Shutdown (PCSS)軟體套件來緩解這些漏洞，該套件提供序列關機和監控。
3.3 通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4 參考連結
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-101-04&p_enDocType=Security%20and%20Safety%20Notice&p_File_Name=SEVD-2023-101-04.pdf
https://www.bleepingcomputer.com/news/security/apc-warns-of-critical-unauthenticated-rce-flaws-in-ups-software/
