zurück zum Artikel

Siemens und Schneider Electric haben eine Reihe von Lücken in SCADA-Systemen geschlossen. Zum Teil kommt die betroffene Software auch in deutschen Kraftwerken zum Einsatz.

Sicherheitsforscher warnen seit Jahren davor, dass Industrie-Kontrollsysteme (ICS) viel zu verwundbar für Angriffe von außen sind. Jetzt hat ein Hacker der Sicherheitsfirma Positive Technologies erneut eine ganze Reihe von Sicherheitslücken [1] in Software offengelegt, die wichtige Aufgabe in Raffinerien, Fabriken und Kraftwerken erfüllt. Bei einem Produkt können Passwörter lokal im Klartext ausgelesen werden, in einem anderen Fall können Angreifer Passwort-Hashes abfangen und die Kontrolle über Systeme von außen übernehmen.

Die Hersteller haben die Lücken vor der Veröffentlichung gestopft. Schneider Electric empfiehlt Kunden der Produkte InTouch Machine Edition und InduSoft Web Studio schnellstmöglich Updates einzuspielen, um das Auslesen von Klartext-Passwörtern im lokalen Netz zu verhindern (CVE-2015-1009). Siemens stopfte die Löcher bereits im April (CVE-2015-1601, CVE-2015-2822, CVE-2015-2823), weist nun aber noch einmal auf die entsprechenden Updates für mehrere SIMATIC-Produkte [2] hin.

Darunter sind auch WinCC-Systeme, die unter anderem in deutschen Atomkraftwerken zum Einsatz kommen. Bereits im Januar hatte Siemens ähnlich gelagerte Lücken in Industrieanlagen [3] in einer anderen WinCC-App geschlossen. (fab [4])

URL dieses Artikels:
https://www.heise.de/-2794724

Links in diesem Artikel:
[1] http://blog.ptsecurity.com/2015/08/positive-technologies-helps-to.html
[2] https://ics-cert.us-cert.gov/advisories/ICSA-15-099-01C
[3] https://www.heise.de/news/Schwachstellen-in-Fernsteuerungs-App-fuer-Industrieanlagen-von-Siemens-geschlossen-2517783.html
[4] mailto:contact@fab.industries

Copyright © 2015 Heise Medien