Generell

Sicherheitslücke in Europas größter Industrieautomaten-Steuerungssoftware

In der europaweit am häufigsten eingesetzten Software für die Steuerung von Robotern und Automaten, CoDeSys, soll eine scheunentorgroße Sicherheitslücke klaffen: So sollen laut einem Bericht der ITWorld alle Geräte, deren Controller (PLCs) CoDeSys-Software verwenden, beliebige Steuerbefehle über einen offenen TCP-Port entgegennehmen, ohne zuvor eine Authentifizierung zu verlangen. Dieses Verhalten ist offenbar vorgesehen, um Geräte gegebenfalls leicht warten und aktualisieren zu können; zum Problem wird es allerdings, sobald die entsprechenden Geräte mit dem Firmennetzwerk verbunden sind.

Wir finanzieren uns fast vollständig aus Spenden von Leserinnen und Lesern. Unterstütze unsere Arbeit mit einer Spende oder einem Dauerauftrag.

So ist es einem Angreifer im Prinzip möglich, die Produktionskette eines Unternehmens lahmzulegen, indem er absurde Steuerbefehle an einzelne Maschinen sendet; ein schlecht geupdateter Windows-PC eines Mitarbeiters, ein unsicheres WLAN oder sogar ein manipulierter USB-Stick würden als Einfallstor genügen.

Ein Kunde von CodeSys hatte die Problematik bereits zuvor erkannt und den betreffenden TCP-Port geschlossen- ob die 260 anderen Kunden ähnlich gute proaktive  IT-Sicherheitsmaßnahmen einsetzen, ist unklar. Die Liste der Kunden, die CoDeSys-Controller einsetzen, liest sich wie ein „Who-is who“ der Maschinenbaubranche. Allein im deutschsprachigen Raum sind Geräte von 169 Herstellern betroffen.

Über ein ähnliches Verhalten wurde schon beim Stuxnet-Virus berichtet, der die iranische Urananreicherung um Jahre zurückwarf, indem er die Umdrehungszahl der Uranzentrifugen weit über ihre Belastbarkeitsgrenze einstellte. Ziel des Angriffs war damals die Siemens-Industrieanlagensteuerungssoftware SPSS.

 

Weitersagen und Unterstützen. Danke!
Ein Kommentar
  1. Und ich habe mich immer gefragt, warum die Hacker bei Shadowrun einfach so an wichtige Daten kommen, in dem sie draussen nur die Sicherheitskameras hacken.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.