Siemens hat zehn neue Advisories veröffentlicht. Besonders hervorgehoben wird eine Schwachstelle mit maximalem Schweregrad in Geräten der Reihe Simatic IoT2050 Advanced. Nach Angaben des Unternehmens handelt es sich um eine fehlende Authentifizierung, die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, beliebigen Code auf dem zugrunde liegenden Server mit erhöhten Rechten auszuführen.
Ebenfalls behoben hat Siemens eine kritische Schwachstelle zur Codeausführung in den Siveillance Video Management Servers. Weitere Lücken mit hohem Schweregrad betreffen Solid Edge, Simcenter Nastran, Siemens License Server, Simcenter Femap, Parasolid und Logo! Soft Comfort. Diese Schwachstellen können laut Siemens zum Absturz von Anwendungen führen, die Ausführung beliebigen Codes ermöglichen, Rechte ausweiten, beliebige Dateien auslesen oder den Zugriff auf sensible Informationen erlauben.
Schwachstellen mit mittlerem Schweregrad hat Siemens zudem in Ruggedcom-Geräten und Desigo-Controllern beseitigt. Weitere technische Einzelheiten über die jeweiligen Fehlerarten nennt der Quelltext an dieser Stelle nicht, verweist aber auf die veröffentlichten Herstellerhinweise.
Schneider Electric hat zwei neue Advisories veröffentlicht, die Schwachstellen in den Produkten NetBotz 5 und PowerChute Serial Shutdown beschreiben. In NetBotz hat das Unternehmen zwei Probleme behoben, die die Ausführung von Code beziehungsweise Befehlen ermöglichen.
Für PowerChute Serial Shutdown meldet Schneider Electric eine Schwachstelle, die übermäßig viele Authentifizierungsversuche erlaubt. Nach Herstellerangaben könnte dies zu Störungen oder zu Zugriff auf Systemdaten führen.
Phoenix Contact hat ein Advisory zu mehreren Schwachstellen in PLCnext-Firmware veröffentlicht. Diese Lücken können laut Hersteller von nicht authentifizierten Angreifern ausgenutzt werden, um einen Denial-of-Service-Zustand auszulösen, unerwartetes Verhalten herbeizuführen oder bösartige SQL-Abfragen auszuführen.
Auch Honeywell hat mehrere Advisories für Produkte seines Gebäude-Management-Systems veröffentlicht. Konkrete betroffene Produktnamen oder einzelne Schwachstellen nennt der Quelltext in diesem Zusammenhang nicht.
Die US-Cybersicherheitsbehörde CISA hat am Dienstag zudem drei neue Advisories veröffentlicht und bereits zuvor in diesem Monat weitere Hinweise herausgegeben. Die drei neuen Advisories behandeln Schwachstellen in Produkten von Pulsetto, Mira von Quanovate Tech und Johnson Controls.
Im Mittelpunkt der aktuellen Patch-Tuesday-Runde stehen damit mehrere Hersteller aus dem Industrie- und OT-Umfeld, die Sicherheitslücken in Steuerungs-, Management- und Softwareprodukten adressieren. Die veröffentlichten Hinweise decken ein breites Spektrum ab, von fehlender Authentifizierung und Codeausführung bis hin zu Denial-of-Service, unerwartetem Verhalten und dem Auslesen sensibler Informationen.