Jetzt handeln! Angreifer attackieren Fertigungsmanagementtool DELMIA Apriso
Ein Sicherheitsforscher und eine US-Behörde warnen vor Angriffen auf DELMIA Apriso. Admins müssen Instanzen über einen Workaround absichern.
(Bild: Andrii Yalanskyi/Shutterstock)
Durch eine "kritische" Sicherheitslücke in DELMIA Apriso kann Schadcode schlüpfen und Computer schädigen.
DELMIA Apriso ist eine Manufacturing-Operations-Management-Software (MOM) und ein Manufacturing Execution System (MES), das auch hierzulande unter anderem im Automobilbereich genutzt wird. Darüber werden etwa globale Produktionsabläufe gesteuert. Es ist davon auszugehen, dass eine erfolgreiche Attacke für Firmen weitreichende Folgen haben kann.
Hintergründe
Der Anbieter der Software, Dassault Systèmes, erwähnte die Sicherheitslücke (CVE-2025-5086 "kritisch") bereits im Juni dieses Jahres in einer äußerst knapp formulierten Warnmeldung. Daraus geht hervor, dass entfernte Angreifer Schadcode in diversen Releases aus den Jahren 2020 bis einschließlich 2025 ausführen können. Aufgrund der kritischen Einstufung ist davon auszugehen, dass Angreifer nicht authentifiziert sein müssen, um Attacken einzuleiten.
Anfang September warnte nun ein Sicherheitsforscher des SANS-Institut Internet Strom Center in einem Beitrag vor Exploitversuchen. Ihm zufolge versenden Angreifer SOAP-Requests mit Schadcode an verwundbare Instanzen. Was Angreifer konkret nach erfolgreichen Attacken anstellen, ist zurzeit unklar.
Videos by heise
Mittlerweile warnt auch die US-Sicherheitsbehörde CISA vor Angriffen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. Unklar bleibt auch, ob es einen Sicherheitspatch gibt. Das geht weder aus der offiziellen Warnmeldung, noch aus den Warnungen des Sicherheitsforschers und der CISA hervor. heise security steht in Kontakt mit dem Softwareanbieter und wartet derzeit auf ein Feedback zum Sicherheitspatch. Wir aktualisieren die Meldung, wenn uns konkrete Informationen vorliegen.
Mittlerweile hat sich der Softwarehersteller mit einer Stellungnahme gemeldet: Im Kundenbereich gibt es eine Handlungsempfehlung, um Systeme vor den laufenden Attacken zu schützen. Dafür stellt der Anbieter ein PowerShell-Skript zur Verfügung, das den unsicheren Webservice FlexNetOperationsService.svc deaktiviert. Alternativ können Nutzer die Datei auch manuell löschen. Davor sollten Kunden aber ein Backup des Systems und der Konfiguration machen.
(des)
