Gefahr für Industrieanlagen: Siemens schließt Lücke in Controller-Software
Eine Komponente der Software STEP 7 (Tia Portal) für Simatic-S7-Anlagen barg eine kritische Sicherheitslücke. Siemens hat sie nun mit einem Update beseitigt.
(Bild: pixabay)
Das IT-Sicherheitsunternehmen Tenable hat eine kritische Schwachstelle in STEP 7, einer Controller-Software für speicherprogrammierbare Steuerungen (SPS) von Siemens, entdeckt. Die Software ist auch unter dem Namen Tia Portal bekannt.
Angreifer sollen die Schwachstelle laut Tenable missbrauchen können, um beliebige Aktionen beziehungweise Befehle auszuführen, die sonst Systemadministratoren vorbehalten sind ("remote command execution"). Siemens sieht dies anders: Lediglich lokale Nutzer können demnach Admin-Befehle "ohne korrekte Authentifizierung" ausführen.
Hohes Gefahrenpotenzial bei geringer Angriffskomplexität
Die über die Schwachstelle angreifbaren SPS/Controller der Simatic-S7-Familie dienen in erster Linie der automatisierten Steuerung industrieller Maschinen und Anlagen. Deshalb waren und sind sie ein beliebtes Ziel für Angreifer und Schadcode. Unter anderem wurde der 2010 entdeckte Computerwurm Stuxnet speziell für Angriffe auf Simatic-S7-Anlagen konzipiert.
Die Komplexität eines Angriffs über die aktuelle Schwachstelle ist laut dem Sicherheitshinweis von Siemens (beziehungsweise der darin enthaltenen Angabe auf Basis des Common Vulnerability Scoring System) gering ("low"). Sie ist demnach also verhältnismäßig leicht ausnutzbar. Die von ihr ausgehende Gefahr stuft Siemens ebenso wie Tenable als "critical" ein (CVSS-v3-Score 8.0 von 10).
Update für Komponente "Tia Administrator" verfügbar
Die vom IT-Sicherheitsunternehmen Tenable entdeckte Schwachstelle (CVE-2019-10915) betrifft laut Tenables Blog die Version 15.1 von STEP 7 alias Tia Portal.
Laut Siemens' Sicherheitshinweis zu CVE-2019-10915 steckt der Fehler in der Tia-Portal-Komponente "Tia Administrator", genauer: in allen Versionen von "Tia Administrator" vor 1.0 SP1 Upd1. Dabei handelt es sich laut Beschreibung um das "webbasierte Framework für administrative Aufgaben für das TIA Portal". Das Unternehmen verweist auf eine Download-Seite, auf der die aktuelle, abgesicherte Version der verwundbaren Tia-Administrator-Komponente bereitsteht.
Siemens macht im Gegensatz zu Tenable keine konkreten Angaben dazu, welche STEP-7-Versionen betroffen sind beziehungsweise welche das verwundbare Framework beinhalten. Angesichts des hohen Gefahrenpotenzials sollten also nicht nur Nutzer von Version 15.1 die Aktualität ihrer Tia-Administrator-Komponente überprüfen. (ovw)
