Festo-Industriesteuerungen: Undokumentierte Risiken durch Fernzugriff in Firmware

Festo-ICS-Produkte: Unvollständige Dokumentation von Fernzugriffsfunktionen

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Sicherheitswarnung (ICSA-26-015-02) veröffentlicht, die auf unvollständige Dokumentationen von fernzugriffsfähigen Funktionen und benötigten IP-Ports in Industrial Control Systems (ICS) des Herstellers Festo hinweist. Die Warnung, Teil der laufenden Bemühungen der CISA zur Sicherung von Operational Technology (OT)-Umgebungen, unterstreicht eine kritische Lücke in der Produktdokumentation, die Unternehmen unnötigen Sicherheitsrisiken aussetzen könnte.

Technische Details

Die Warnung legt dar, dass die Dokumentation von Festo-Produkten nicht alle fernzugriffsfähigen Funktionen oder die für deren Betrieb erforderlichen IP-Ports vollständig auflistet. Zwar enthalten einige Produktmanuals teilweise Beschreibungen der unterstützten Funktionen, doch die unvollständige Dokumentation könnte Sicherheitsteams im Unklaren über potenzielle Angriffsflächen lassen. Betroffen sind mehrere Festo-Geräte, darunter das kürzlich in einem Update vom 13. Dezember 2022 hinzugefügte Bus Module.

Das mit der Warnung verknüpfte CSAF-Dokument (Common Security Advisory Framework) liefert zusätzlichen Kontext, enthält jedoch derzeit keine spezifischen CVE-Kennungen oder technische Gegenmaßnahmen. Sicherheitsverantwortliche werden aufgefordert, die CSAF-Datei für weitere Details zu betroffenen Produkten und Konfigurationen zu prüfen.

Risikoanalyse

Die unvollständige Dokumentation birgt mehrere Risiken für Unternehmen, die Festo-ICS-Produkte einsetzen:

• Erweiterte Angriffsfläche: Undokumentierte Fernfunktionen oder offene Ports könnten von Angreifern ausgenutzt werden, um unbefugten Zugriff auf industrielle Netzwerke zu erlangen.
• Compliance-Herausforderungen: Unzureichende Dokumentation kann die Einhaltung von Industriestandards wie IEC 62443, NIST SP 800-82 oder NERC CIP erschweren, die eine umfassende Verwaltung von Assets und Zugriffsrechten vorschreiben.
• Operative Blindstellen: Sicherheitsteams könnten möglicherweise legitime Fernzugriffspfade übersehen, was die Incident-Response und Netzwerküberwachung erschwert.

Empfehlungen für Sicherheitsteams

CISA und Festo haben bisher keine Patches oder aktualisierte Dokumentationen veröffentlicht, um diese Probleme zu beheben. Bis dahin werden Sicherheitsverantwortliche aufgefordert, folgende Maßnahmen zu ergreifen:

1. Bestandsaufnahme und Audit: Führen Sie eine umfassende Prüfung aller eingesetzten Festo-ICS-Geräte durch, um undokumentierte fernzugriffsfähige Funktionen oder offene Ports zu identifizieren.
2. Netzwerksegmentierung: Isolieren Sie Festo-Geräte in segmentierten OT-Netzwerken, um laterale Bewegungen im Falle einer Kompromittierung einzuschränken.
3. Zugriffskontrollen: Implementieren Sie strenge Firewall-Regeln, um den Zugriff auf bekannte IP-Ports und Fernfunktionen zu beschränken – auch wenn diese nicht vollständig dokumentiert sind.
4. Überwachung: Setzen Sie Netzwerküberwachungstools ein, um anomalen Datenverkehr oder unbefugte Zugriffsversuche auf Festo-Geräte zu erkennen.
5. Herstellerkoordination: Nehmen Sie Kontakt mit dem Festo-Support auf, um aktualisierte Dokumentationen anzufordern und die Sicherheitsauswirkungen undokumentierter Funktionen zu klären.

Unternehmen sollten diese Warnung als Erinnerung verstehen, die Herstellerdokumentation mit realen Implementierungen abzugleichen – insbesondere in OT-Umgebungen, in denen Security-by-Obscurity keine tragfähige Strategie darstellt. Weitere Updates von CISA oder Festo werden erwartet, sobald sich die Situation entwickelt.