AVEVA PI to CONNECT Agent: Schwachstelle ermöglicht unbefugten Proxy-Zugriff (ICSA-26-041-04)
CISA warnt vor einer kritischen Sicherheitslücke in AVEVA PI to CONNECT Agent (ICSA-26-041-04), die Proxy-Server unbefugtem Zugriff aussetzt. Betroffene Versionen: ≤2.12.1.
Schwachstelle in AVEVA PI to CONNECT Agent ermöglicht unbefugten Proxy-Zugriff
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine kritische Sicherheitslücke im AVEVA PI to CONNECT Agent veröffentlicht, die unbefugten Zugriff auf Proxy-Server ermöglichen könnte. Die Schwachstelle, dokumentiert unter ICSA-26-041-04, betrifft alle Versionen der Software bis einschließlich 2.12.1.
Technische Details
Die Schwachstelle wurde in der CISA-Warnmeldung nicht mit einer CVE-ID versehen, stellt jedoch ein erhebliches Risiko für Organisationen dar, die auf AVEVAs industrielle Softwarelösungen angewiesen sind. Bei erfolgreicher Ausnutzung könnten Angreifer Zugriff auf interne Proxy-Server erlangen, was zu weiterer lateraler Bewegung oder Datenexfiltration innerhalb kompromittierter Netzwerke führen könnte.
Betroffene Versionen:
- PI to CONNECT Agent ≤2.12.1
Die CISA stellt ein CSAF-Dokument (Common Security Advisory Framework) als technische Referenz bereit, obwohl die genauen Exploit-Mechanismen nicht offengelegt wurden.
Auswirkungen der Schwachstelle
Ein unbefugter Zugriff auf Proxy-Server kann für Angreifer einen kritischen Einstiegspunkt darstellen, insbesondere in Operational Technology (OT)-Umgebungen. Mögliche Folgen sind:
- Umgehung der Netzwerksegmentierung durch Nutzung des Proxys als Sprungbrett.
- Abhören oder Manipulation von Datenverkehr, der über den Proxy geleitet wird.
- Erweiterung von Berechtigungen, falls der Proxy mit anderen kritischen Systemen integriert ist.
Da AVEVA in Industrial Control Systems (ICS) weit verbreitet ist, könnte diese Schwachstelle kaskadierende Auswirkungen auf Sektoren wie Energie, Fertigung und Wasseraufbereitung haben.
Empfehlungen
Die CISA rät Organisationen dringend zu folgenden Maßnahmen:
- Sofortige Anwendung von Patches oder Minderungsmaßnahmen, die von AVEVA bereitgestellt werden.
- Einschränkung des Zugriffs auf den PI to CONNECT Agent auf vertrauenswürdige Netzwerke.
- Überwachung der Proxy-Server-Logs auf ungewöhnliche Aktivitäten, wie z. B. unbefugte Verbindungsversuche.
- Überprüfung der Netzwerksegmentierung, um die potenziellen Auswirkungen eines Sicherheitsvorfalls zu begrenzen.
Weitere Details finden Sie in der offiziellen CISA-Warnmeldung (ICSA-26-041-04).