Siemens IoT2050: Kritische Lücke wird aktiv ausgenutzt

Angreifer nutzen eine kritische Sicherheitslücke in Industrie-Gateways vom Typ Siemens SIMATIC IoT2050 Advanced aus. Das hat das Sicherheitsunternehmen VulnCheck berichtet. Die Lücke mit der Kennung CVE-2026-58115 ist mit dem höchsten CVSS-Wert von 10,0 bewertet. Betroffen sind Geräte mit dem Betriebssystem Industrial OS, auf denen die Programmierumgebung Node-RED installiert ist. Deren HTTP-Schnittstelle verlangt keine Authentifizierung. Angreifer können darüber ohne Anmeldung schädliche Abläufe, sogenannte Flows, anlegen und Code mit höchsten Rechten auf dem Gerät ausführen.

Siemens hatte die Lücke bereits im August 2026 in einem Sicherheitshinweis beschrieben. Behoben ist sie ab Version 4.3.4.1. Als Gegenmaßnahme empfiehlt Siemens, Node-RED zu deinstallieren oder abzusichern, etwa durch HTTPS, eine Anmeldung per Zugangsdaten oder über OAuth beziehungsweise OpenID für Editor und Admin-Schnittstelle sowie durch Basic Authentication für HTTP-Knoten und das Node-RED-Dashboard.

Bot über drei Kodierungsebenen

Seit dem 30. Oktober beobachtet VulnCheck Angriffsversuche in seinem Honeypot-Netzwerk. Die Angreifer versuchen, ein Linux-Bot-Programm herunterzuladen und auszuführen.

„Die Anfrage des Angreifers war ein vollständiger Exploit.”
Patrick Garrity, VulnCheck-Forscher

Sie habe einen Node-RED-Flow angelegt, ihn automatisch ausgelöst und eine Binärdatei vom Server der Angreifer geladen, verborgen hinter drei Ebenen der Kodierung.

Der Flow startet ein Shell-Skript, das per wget oder ersatzweise per curl ein Bot-Programm für die AMD64-Architektur lädt, unter /dev/shm/.b speichert und ausführt. Später wechselten die Angreifer zu einem zweistufigen Verfahren mit einem weiteren Skript namens wget.sh. In einem anderen Fall wurde eine Datei als /tmp/.kworker gespeichert, offenbar um sie als harmlosen Kernel-Prozess zu tarnen. Was diese Programme genau tun, ist nicht bekannt, da sie sich nicht abrufen ließen.

Hintertür übersteht Neustarts

Einige Anfragen luden laut VulnCheck gar keine Schadsoftware herunter. Stattdessen richteten die Angreifer im Flow einen HTTP-Endpunkt ein, etwa unter /cmd oder einem zufälligen Pfad, über den sie später beliebige Befehle per Abfrageparameter ausführen können. Diese Hintertür bleibt auch erhalten, wenn ein nur im Arbeitsspeicher laufendes Implantat nach einem Neustart verloren geht.

Betreiber sollten ihre Geräte auf Version 4.3.4.1 oder neuer aktualisieren und prüfen, ob unbekannte Node-RED-Flows angelegt wurden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte im Oktober nach Angriffen auf Kühlanlagen in französischen Supermärkten empfohlen, direkte Zugriffe aus dem Internet auf Steuerungssysteme grundsätzlich zu unterbinden.

(red)