Valmet DNA Engineering Web Tools anfällig für Pfad-Traversierungs-Angriff (CVE ausstehend)

Valmet DNA Engineering Web Tools von Pfad-Traversierungs-Schwachstelle betroffen

Madrid, Spanien – 20. Februar 2026 – Das INCIBE-CERT hat eine Warnmeldung zu einer Pfad-Traversierungs-Schwachstelle in den Valmet DNA Engineering Web Tools veröffentlicht, einer Software-Suite für die Automatisierung und Steuerung industrieller Prozesse. Die Schwachstelle, für die derzeit noch keine CVE-Kennung vorliegt, ermöglicht unbefugten Zugriff auf eingeschränkte Verzeichnisse und könnte die Offenlegung sensibler Systemdateien zur Folge haben.

Technische Details

Die Schwachstelle resultiert aus einer fehlerhaften Begrenzung der Verzeichniszugriffskontrollen innerhalb der webbasierten Oberfläche der Valmet DNA Engineering Tools. Angreifer mit Netzwerkzugriff auf das betroffene System könnten diese Lücke ausnutzen, um Verzeichnisse außerhalb des vorgesehenen eingeschränkten Pfads zu traversieren und potenziell auf Konfigurationsdateien, Anmeldedaten oder andere kritische Daten zuzugreifen.

• Betroffene Software: Valmet DNA Engineering Web Tools
• Schwachstellentyp: Pfad-Traversierung (CWE-22)
• Auswirkung: Unautorisierter Verzeichniszugriff, mögliche Datenoffenlegung
• CVSS-Score: Ausstehend (voraussichtlich hohe Schweregrad)
• Patch-Status: Noch nicht verfügbar

Auswirkungsanalyse

Industrielle Steuerungssysteme (ICS) wie die Valmet DNA Engineering Tools sind entscheidend für den Betrieb in Branchen wie Zellstoff-, Papier- und Energieerzeugung. Eine erfolgreiche Ausnutzung dieser Schwachstelle könnte zu Folgendem führen:

• Unautorisierter Zugriff auf sensible Betriebsdaten
• Störung industrieller Prozesse, falls Konfigurationsdateien manipuliert werden
• Laterale Bewegung innerhalb des Netzwerks, falls Anmeldedaten offengelegt werden

Da die Software in OT-Umgebungen (Operational Technology) eingesetzt wird, geht das Risiko über die reine Datenoffenlegung hinaus und könnte physische Folgen haben, einschließlich Schäden an Geräten oder Sicherheitsvorfällen.

Empfehlungen für Sicherheitsteams

INCIBE-CERT und Valmet haben noch keinen Patch veröffentlicht, aber Organisationen, die die betroffene Software nutzen, sollten folgende Maßnahmen ergreifen:

1. Netzwerkzugriff einschränken

   • Die Exposition der DNA Engineering Web Tools-Oberfläche auf vertrauenswürdige Netzwerke beschränken.
   • Firewall-Regeln implementieren, um unbefugten Zugriff auf den Port der Weboberfläche zu blockieren.

2. Auf verdächtige Aktivitäten überwachen

   • Intrusion-Detection/Prevention-Systeme (IDS/IPS) einsetzen, um Pfad-Traversierungs-Versuche zu erkennen.
   • Protokolle auf ungewöhnliche Zugriffsmuster auf eingeschränkte Verzeichnisse überprüfen.

3. Defense-in-Depth-Maßnahmen anwenden

   • OT-Netzwerke von Unternehmens-IT-Netzwerken segmentieren, um potenzielle Sicherheitsverletzungen einzudämmen.
   • Prinzip der geringsten Privilegien für Benutzer durchsetzen, die mit dem System interagieren.

4. Vorbereitung auf Patching

   • Valmets offizielle Kanäle auf Sicherheitsupdates überwachen und diese sofort nach Veröffentlichung anwenden.
   • Patches in einer Nicht-Produktionsumgebung testen, um betriebliche Störungen zu vermeiden.

Nächste Schritte

INCIBE-CERT wird seine Warnmeldung aktualisieren, sobald weitere Informationen, einschließlich einer CVE-Kennung und Patch-Details, verfügbar sind. Organisationen, die auf die Valmet DNA Engineering Tools angewiesen sind, sollten dies als hochprioritäres Problem behandeln und bis zur Bereitstellung eines Patches Maßnahmen zur Risikominderung ergreifen.

Weitere Details finden Sie in der ursprünglichen Warnmeldung auf der Website von INCIBE-CERT.