Netzwerk-Sicherheit
15 Schwachstellen im Siemens SINEC NMS entdeckt
Sicherheitsforscher von Claroty haben 15 Sicherheitslücken im Netzwerkmanagementsystem SINEC NMS von Siemens aufgedeckt, die Angriffe auf die damit verknüpften Industrie-Systeme erlauben. Anwender-Unternehmen sollten deshalb dringend die entsprechenden Updates installieren.
Die Security-Experten des Team82, der Forschungsabteilung von Claroty, warnen vor 15 Sicherheitslücken in Siemens SINEC NMS. Diese erlauben Angreifern unter anderem Denial-of-Service-Angriffe, das Auslesen von Anmeldeinformationen und Remote-Code-Ausführung über das in der Industrie weit verbreitete Netzwerkmanagementsystem (NMS). So können Hacker etwa die Schwachstelle CVE-2021-33723 ausnutzen, um ihre Privilegien zu erweitern und über CVE-2021-33722 mittels eines Path-Traversal-Angriffs Code aus der Ferne ausführen. Davon betroffen sind laut Team82 alle Versionen des SINEC NMS vor V1.0 SP2 Update 1, weshalb Unternehmen unbedingt umgehend die entsprechenden aktuellen Updates installieren sollten. Darüber hinaus hat Siemens in enger Zusammenarbeit mit den Forschern umgehend detaillierte Sicherheitshinweise und weitere Patches zu den Schwachstellen veröffentlicht.
SINEC NMS dient der Identifizierung und Überwachung von Steuersystemen und Abläufen samt ihrer jeweiligen Verbindungen und Abhängigkeiten in Industrie-4.0-Netzwerken. Unternehmen können mit der daraus erzeugten Netzwerktopologie und den Diagnosefunktionen Ereignisse und Gerätezustände erkennen und darauf reagieren sowie Firmware-Upgrades oder Konfigurationsänderungen vornehmen. Dazu verfügt das System über einen Zugang zu den Anmeldeinformationen, kryptografische Schlüssel und andere sensible Daten. Erlangen Angreifer Zugriff auf SINEC, können sie damit das Netzwerk durchleuchten, sich lateral bewegen und ihre Privilegien eskalieren, um beispielsweise administrative Rechte für das System zu erlangen, vertrauliche Informationen zu entwenden, oder Remote-Code auf dem Host-Rechner unter Verwendung von NT AUTHORITY\SYSTEM-Rechten auszuführen.
Lesen Sie mehr zum Thema
