Betroffene Einrichtungen
Bereich
OpenPLC Runtime v3 enthält eine kritische Schwachstelle im Legacy-Web-UI-Upload-Workflow: Ein authentifizierter Angreifer kann einen manipulierten Dateinamen (prog_file) übergeben, der ohne Validierung als Zielpfad verwendet wird. Da Python's os.path.join() absolute Angreiferpfade akzeptiert, können beliebige Dateien an beliebige Stellen im Dateisystem geschrieben werden, auf die der Webserver-Prozess Schreibzugriff hat – dies ermöglicht im Standardbuild potenziell die Kompromittierung von C++-Quelldateien und damit der SPS-Laufzeitumgebung selbst. OpenPLC wird als Open-Source-SPS-Laufzeitumgebung eingesetzt und kann in Gesundheitseinrichtungen zur Steuerung von Gebäudetechnik (HVAC, Aufzüge) oder industriellen Steuerungssystemen betrieben werden; sofern dies der Fall ist, besteht das Risiko einer vollständigen Kompromittierung der OT-Infrastruktur. Aufgrund des sehr hohen CVSS-Scores von 9.9 ist unmittelbares Handeln erforderlich: Zugriff auf die Weboberfläche einschränken und auf einen Hersteller-Patch warten.
1 Legacy-Web-UI von OpenPLC Runtime v3 sofort deaktivieren oder den Zugriff auf vertrauenswürdige Nutzer/Netzwerksegmente beschränken, da der Datei-Upload-Workflow (prog_file) die Schwachstelle enthält und bis zu einem offiziellen Patch die primäre Angriffsfläche darstellt.
2. Netzwerksegmentierung prüfen: OpenPLC-Instanzen dürfen nicht aus dem allgemeinen Klinik-LAN oder dem Internet erreichbar sein – Zugriff ausschließlich über dedizierte OT-/ICS-Segmente mit strikten Firewall-Regeln erlauben.
3. Benutzerkonten für die OpenPLC-Weboberfläche auf das absolute Minimum reduzieren und alle nicht benötigten Accounts deaktivieren, da die Schwachstelle eine Authentifizierung voraussetzt.
4. Dateisystem-Berechtigungen des OpenPLC-Webserver-Prozesses härten: Schreibzugriff auf kritische Systempfade einschränken, sodass ein potenzieller Exploit möglichst wenig Schaden anrichten kann.
5. Hersteller-Repository und NVD auf einen Patch für OpenPLC Runtime v3 beobachten und diesen unmittelbar nach Verfügbarkeit einspielen; parallel Incident-Response-Plan für betroffene OT-/ICS-Umgebungen aktualisieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja