Mit 18 neuen Sicherheitshinweisen stellt Siemens den größten Anteil der Mai-Veröffentlichungen. Als kritisch eingestuft sind unter anderem eine Geräteübernahme im Sentron 7KT PAC1261 Data Manager, eine Cross-Site-Scripting-Lücke im Webserver der Simatic-S7-SPS und die Ausführung von Befehlen mit Root-Rechten in Ruggedcom Rox, das zudem alte Schwachstellen in Drittkomponenten enthält. Hinzu kommen ein beliebiger Dateizugriff in ROS#, mehr als 300 Schwachstellen in Drittkomponenten des Simatic CN4100 sowie eine fehlende Authentifizierung in Opcenter RDnL.
Gesondert weist Siemens darauf hin, dass das Produkt Ruggedcom APE1808 von der kürzlich offengelegten PAN-OS-Schwachstelle von Palo Alto Networks betroffen ist. Diese wird laut Siemens bereits aktiv ausgenutzt, möglicherweise durch staatlich unterstützte Angreifer aus China.
Weitere als hochgradig eingestufte Schwachstellen, die sich zur Remotecodeausführung ausnutzen lassen, hat Siemens in Simcenter Femap, Teamcenter, gPROMS Web Applications Publisher und Ruggedcom Rox behoben. Eine hochriskante Lücke in KACO-Blueplanet-Wechselrichtern kann zur Offenlegung von Informationen führen, und für Simatic HMI Unified Comfort informiert der Hersteller über eine Möglichkeit, aus dem Bedienpanel auszubrechen.
Schneider Electric veröffentlichte vier neue Advisories. Drei davon betreffen hochgradige Schwachstellen: die Offenlegung sensibler Informationen im EcoStruxure Panel Server, unbefugten Dateizugriff in EasyLogic T150 und Saitel DP RTU sowie Session-Hijacking in Produkten der Reihen EasyLogic, PowerLogic, Easergy und EcoStruxure. Eine als mittelschwer bewertete Lücke zur Informationsoffenlegung wurde in EcoStruxure Machine Expert HVAC geschlossen.
Die CISA hat in den vergangenen zwei Wochen Hinweise zu mehreren Schwachstellen in ABB-Produkten herausgegeben. Zum Patchday kamen Advisories zu Sicherheitslücken in Produkten von Subnet Solutions, Fuji Electric, Maxhub und Johnson Controls hinzu. Das deutsche CERT@VDE veröffentlichte zudem einen neuen Hinweis zu einer mittelschweren Denial-of-Service-Lücke in Codesys Modbus.