Die Datenmanager-Software für das Mehrkanal-Strommessgerät Sentron 7KT PAC1260 von Siemens ist verwundbar und über mehrere "kritische" Sicherheitslücken angreifbar. Da das Gerät keinen Support mehr erhält, bleibt es verwundbar und Nutzer müssen auf eine noch unterstützte Hardware wechseln.
Insgesamt können Angreifer an neun Schwachstellen ansetzen, warnt Siemens in einem Beitrag. Vier davon sind als kritisch eingestuft (CVE-2024-41788, CVE-2024-41789, CVE-2024-41790, CVE-2024-41794). Hier können authentifizierte Angreifer in drei Fällen am Webinterface mit bestimmten POST-Anfragen ansetzen, um Schadcode mit Root-Rechten auszuführen. Danach liegt es nahe, dass sie die volle Kontrolle über Geräte erlangen.
Die letztgenannte Lücke ist mit dem höchstmöglichen CVSS Score 10 von 10 versehen. Aufgrund einer Hintertür in Form von hartcodierten Zugangsdaten können Angreifer Geräte kapern.
Über die verbleibenden Schwachstellen können sie noch Einstellungen verändern, sich Fernzugriff auf Geräte verschaffen oder Passwörter ändern.
Weil es keine Sicherheitsupdates mehr gibt, bleibt Nutzern nichts anderes übrig, als auf den noch unterstützten Nachfolger Sentron 7KT PAC1261 Data Manager umzusteigen. In jedem Fall sollte man das alte Gerät zügig aus dem Verkehr ziehen, um Angreifern keine Angriffsfläche zu bieten. Bislang gibt es noch keine Berichte zu Attacken.
(
Kommentare