Die Mai-Patch-Tuesday-Runde zeigt die anhaltend hohe Schwachstellenlast in Industrieanlagen weltweit. Neben Siemens und Schneider Electric haben nur CISA und das deutsche CERT@VDE neue Sicherheitshinweise publiziert — ein Zeichen dafür, dass viele andere ICS-Hersteller ihre Veröffentlichungszyklen nicht auf den monatlichen Patch-Rhythmus abgestimmt haben.
Siemens adressiert in seinen 18 Hinweisen ein breites Spektrum von Kritikalität. Das Schwergewicht liegt auf kritischen Schwachstellen: Das Datenmanagement-System Sentron 7KT PAC1261 erlaubt eine vollständige Geräteübernahme, während der Web-Server der Simatic S7 über Cross-Site-Scripting (XSS) kompromittiert werden kann. Besonders problematisch ist die Situation bei Ruggedcom Rox: Hier ermöglichen Befehlsausführungslücken einem Angreifer, als Root-Benutzer beliebigen Code auszuführen. Hinzu kommen über 300 Schwachstellen in Drittanbieter-Komponenten des Industrial-IoT-Systems Simatic CN4100.
Das Opcenter RDnL-Steuerungssystem weist eine kritische Authentifizierungslücke auf. Bei den hochgradig kritischen Schwachstellen in Simcenter Femap, Teamcenter und gPROMS Web Applications Publisher handelt es sich um Remote-Code-Execution-Lücken, die eine vollständige Systemkompromittierung ermöglichen.
Schneider Electric folgt mit vier neuen Hinweisen. Die EcoStruxure Panel Server Schwachstelle ermöglicht die Offenlegung sensitiver Informationen, während EasyLogic T150 und Saitel DP RTU unbefugten Dateizugriff erlauben. Eine Session-Hijacking-Lücke betrifft mehrere Produkte der EasyLogic-, PowerLogic- und Easergy-Familien.
Das deutsche CERT@VDE warnt vor einer Denial-of-Service-Schwachstelle in Codesys Modbus mittlerer Kritikalität. CISA hat darüber hinaus Hinweise für Produkte von ABB, Subnet Solutions, Fuji Electric, Maxhub und Johnson Controls veröffentlicht.
Für deutsche Unternehmen und Betreiber kritischer Infrastrukturen ist schnelles Handeln erforderlich. Viele dieser Systeme — besonders in Energieversorgung, Wasserwirtschaft und Fertigung — sind in Deutschland im Einsatz. Das BSI wird voraussichtlich Empfehlungen zur Priorisierung dieser Patches herausgeben. Unternehmen sollten ihre Patch-Management-Prozesse aktivieren und betroffene Systeme identifizieren, um die Exploitierbarkeit dieser Lücken zu minimieren.