Forescout schätzt – mit einigen Annahmen –, dass es derzeit weltweit mehr als zehn Millionen serielle Geräteserver geben könnte. Einige Zehntausend davon seien unvorsichtigerweise offen im Internet auffindbar. Die Bedeutung dieser Geräte dürfte eher zunehmen: Branchenanalysten erwarten, dass der Markt im kommenden Jahrzehnt kontinuierlich wächst, womöglich sich verdoppelt, weil die alten Maschinen in Betrieb bleiben und der Bedarf an Steuerungs- und Datenerfassungssystemen (SCADA) in Fertigung, Gesundheitswesen und anderen Sektoren steigt.
Einige der neu gefundenen Fehler sind gravierend. Der EDS5000PS enthielt fünf separate Schwachstellen zur Remotecodeausführung (RCE), zwei davon mit dem kritischen CVSS-Wert 9,8 von 10, drei weitere mit hoher Einstufung, deren Ausnutzung lediglich eine Authentifizierung voraussetzt. Noch schwerwiegender ist laut Forescout eine ebenfalls mit 9,8 bewertete Lücke im EDS3000PS (CVE-2025-70082): Über die Weboberfläche ließ sich das Gerätepasswort ändern, ohne das alte Passwort eingeben zu müssen. So konnte ein Angreifer das Gerät übernehmen und zugleich die Administratoren aussperren.
Daniel dos Santos, Leiter der Sicherheitsforschung bei Forescout, kündigt für die Black Hat eine Demonstration realer Folgen an. „Wir haben ein Gerät, das etwa an ein Thermometer oder einen Barcode-Scanner angeschlossen ist, und sobald man einen Barcode einliest, wird er bei der Übertragung über das IP-Netz zu einem anderen Barcode", erläutert er. So lasse sich verändern, welche Daten durch das Netz wandern oder in der physischen Welt erfasst und verarbeitet werden.
Über die neu entdeckten Lücken hinaus untersuchte Forescout auch die zugrunde liegenden Technikstacks – also Betriebssysteme und Bibliotheken. Manche Geräte bestanden aus einem oder zwei Dutzend Komponenten, andere aus vielen Dutzend; ein Modell brachte es auf 248 Bausteine. Die Ergebnisse dieses Teils anonymisierte Forescout, um „herstellerübergreifende Sicherheitsmuster" in den Vordergrund zu stellen.
Im Durchschnitt enthielt jedes Firmware-Abbild 212 bekannte Schwachstellen in seinen Open-Source-Komponenten. Weil alle Geräte sehr alte Linux-Versionen einsetzen, fanden sich im Kernel jedes Geräts durchschnittlich 2.255 Bugs. Rund 68 Prozent aller betroffenen Schwachstellen wurden als niedrig oder mittelschwer eingestuft, 29 Prozent als hoch, 63 als ausgesprochen kritisch. Im Mittel waren die Firmware-Abbilder für 89 öffentlich verfügbare Exploits anfällig.
„Dass Geräte weiterhin ältere Firmware-Versionen ausführen und Hunderte, teils Tausende Schwachstellen in diesen Komponenten aufweisen, ist sehr beunruhigend", sagt dos Santos. Da diese Phase der Untersuchung nur oberflächlich war, seien aber womöglich nicht alle Schwachstellen ohne Weiteres ausnutzbar – abhängig von Architektur und Konfiguration der Geräte.
Neben dem Patchen, das an dauerhaft laufenden Industrieanlagen bekanntlich schwierig ist, könnten Härtungstechniken für Linux-Binärdateien Angreifer abwehren. So funktionierten Exploits auf Geräten mit Address Space Layout Randomization (ASLR) – der Zufallsverteilung von Code und Daten im Speicher – weniger zuverlässig. Solche Härtung werde jedoch nicht durchgängig angewendet, berichtet dos Santos: Die Speicherpositionen seien stets gleich, sodass im Speicher liegende Bibliotheken wiederverwendet werden könnten. „All das lässt sich mit modernen Techniken zur Binärhärtung und zur Eindämmung von Exploits verhindern."