Bransys-ELD-Schwachstellen könnten über gemeinsam genutzte Zugangsdaten Live-Flottentelemetrie offenlegen

Drei Schwachstellen in der Software für elektronische Fahrtenschreiber von Bransys könnten Live-Fahrzeugtelemetrie, Backend-Daten und möglicherweise Firmware für unbefugte Nutzer zugänglich machen. Betroffen sind ältere Android- und iOS-Versionen, die im US-amerikanischen Transportsektor eingesetzt werden.

CISA veröffentlichte am 17. September 2026 den Sicherheitshinweis ICSA-26-260-01. Er behandelt zwei Gruppen eingebetteter Zugangsdaten sowie die unzureichende Verschlüsselung sensibler Kommunikation.

Betroffen ist folgende Software:

• Bransys ELD für Android vor Version 11.00.00
• Bransys ELD für iOS vor Version 1.1.54

Alle drei Schwachstellen betreffen beide Plattformbereiche. Jaime Lightfoot meldete die Probleme an CISA.

Gemeinsamer MQTT-Zugriff könnte Daten mehrerer Transportunternehmen offenlegen

Bei der nach CVSS v3.1 schwerwiegendsten Schwachstelle handelt es sich um CVE-2026-86520, fest kodierte MQTT-Zugangsdaten gemäß CWE-798.

MQTT wird häufig verwendet, um kompakte Nachrichten zwischen entfernten Geräten und Backend-Diensten auszutauschen. In diesem Fall könnten im Produkt eingebettete Zugangsdaten einem Angreifer die Authentifizierung am betroffenen MQTT-Broker und das Auslesen von Echtzeitinformationen ermöglichen.

Die Reichweite der Offenlegung könnte über ein einzelnes kompromittiertes ELD hinausgehen. Laut der Beschreibung von CISA könnten die Zugangsdaten Einblick in jedes aktive Gerät einer Teilmenge von Transportunternehmen ermöglichen, die mit demselben Broker verbunden sind.

Diese gemeinsame Backend-Struktur verändert die Risikolage erheblich. Ein Angreifer, der funktionierende Zugangsdaten erlangt, muss möglicherweise nicht einzelne Lkw oder Mobilgeräte kompromittieren. Stattdessen könnte der Broker-Zugriff einen zentralen Zugang zu Telemetriedaten darstellen, die von mehreren aktiven Installationen erzeugt werden.

Für CVE-2026-86520 gelten folgende Bewertungen:

• CVSS v3.1: 7.5 Hoch
• CVSS v3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
• CVSS v4.0: 8.7 Hoch
• CVSS v4.0-Vektor: AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Die Vektoren beschreiben eine aus der Ferne erreichbare Schwachstelle mit geringer Angriffskomplexität, ohne erforderliche Kontoberechtigungen und ohne Benutzerinteraktion. Als Auswirkung wird ein schwerwiegender Verlust der Vertraulichkeit bewertet; eine Beeinträchtigung der Datenintegrität oder der Dienstverfügbarkeit wird nicht angegeben.

CISA hat weder die tatsächlichen Zugangsdaten noch die Broker-Adresse, die offengelegten Nachrichtenthemen oder die genauen Telemetriedaten veröffentlicht, die einem unbefugten Nutzer zur Verfügung stehen könnten.

Unverschlüsselte Kommunikation schafft eine zweite Schwachstelle auf Brokerebene

CVE-2026-86689 betrifft sensible Informationen, die ohne ausreichende Verschlüsselung übertragen werden. Die Schwachstelle ist CWE-319, Cleartext Transmission of Sensitive Information, zugeordnet.

Ein Angreifer, der die erforderlichen Voraussetzungen erfüllt, könnte eine Verbindung zum Broker herstellen und die darüber verfügbaren Daten auslesen. Damit ergänzt diese Schwachstelle das Problem mit den Zugangsdaten: Die eine Schwachstelle betrifft die Authentifizierung des Zugriffs, die andere den Schutz sensibler Informationen während der Übertragung.

Ihre Bewertung fällt je nach Scoring-System deutlich unterschiedlich aus:

• CVSS v3.1: 5.9 Mittel
• CVSS v3.1-Vektor: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
• CVSS v4.0: 8.2 Hoch
• CVSS v4.0-Vektor: AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Beide Bewertungen weisen auf einen potenziell hohen Verlust der Vertraulichkeit hin. CVSS v3.1 stuft die Ausnutzung als hochkomplex ein, während der CVSS-v4.0-Vektor über AT:P eine erforderliche vorherige Voraussetzung dokumentiert.

Keines der beiden Modelle schreibt der Schwachstelle Auswirkungen auf Integrität oder Verfügbarkeit zu. Aus der veröffentlichten Beschreibung geht außerdem nicht hervor, ob der offengelegte Datenverkehr aus Nachrichten zwischen Gerät und Broker, administrativer Kommunikation, Authentifizierungsdaten oder einer Kombination dieser Elemente besteht.

Eingebettete FTP-Zugangsdaten legen gespeicherte Backend-Daten offen

Die dritte Schwachstelle, CVE-2026-77960, betrifft fest kodierte Zugangsdaten für einen FTP-Dienst. Wie das MQTT-Problem wird sie unter CWE-798 eingeordnet.

Ein Angreifer könnte die eingebetteten Zugangsdaten verwenden, um eine Verbindung zum zugehörigen FTP-Server herzustellen und gespeicherte Informationen auszulesen. In der übergeordneten Zusammenfassung des Sicherheitshinweises wird zwar der unbefugte Zugriff auf Firmware erwähnt, die genauen Dateien, die Verzeichnisstruktur und die über das FTP-Konto verfügbaren Zugriffsrechte werden jedoch nicht benannt.

Für die Schwachstelle wurden folgende Werte vergeben:

• CVSS v3.1: 5.3 Mittel
• CVSS v3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVSS v4.0: 6.9 Mittel
• CVSS v4.0-Vektor: AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Die Ausnutzung erfolgt über das Netzwerk, erfordert eine geringe Komplexität und setzt weder Berechtigungen noch Benutzerinteraktion voraus. Die Auswirkungen auf die Vertraulichkeit werden geringer bewertet als bei den MQTT-bezogenen Schwachstellen.

Es wurde nicht veröffentlicht, dass sich Firmware hochladen oder verändern lässt. Ebenso wird in den Schwachstellenbeschreibungen nicht behauptet, dass Angreifer ELD-Aufzeichnungen ändern, Fahrzeuge steuern, den Dienst unterbrechen oder Befehle an Geräte senden können.

Flottenbetreiber sind Vertraulichkeits- und Datenschutzrisiken ausgesetzt

Bransys ELD wird in Transportumgebungen eingesetzt, in denen Telemetriedaten betrieblich sensible Informationen enthalten können. Ein unbefugter Einblick kann das Flottenmonitoring, die Vertraulichkeit logistischer Abläufe und die Privatsphäre von Fahrern oder anderen Personen beeinträchtigen, die in den erhobenen Daten erfasst sind.

Die geräteübergreifende Reichweite der MQTT-Schwachstelle ist der zentrale Problempunkt. Eine Offenlegung über einen gemeinsamen Broker kann Auswirkungen auf Ebene eines Transportunternehmens oder mehrerer Unternehmen haben, statt den Vorfall auf eine einzelne Installation der mobilen Anwendung zu begrenzen.

Die dokumentierten Auswirkungen beschränken sich jedoch weiterhin auf den Datenzugriff. Es gibt keine veröffentlichten Belege dafür, dass diese CVEs einen Weg zum Ändern von Aufzeichnungen, zur Störung des Flottenbetriebs oder zur Übernahme eines ELD eröffnen.

CISA erklärte, zum Zeitpunkt der Veröffentlichung des Sicherheitshinweises keine Meldungen über eine bekannte öffentliche Ausnutzung speziell dieser drei Schwachstellen erhalten zu haben. Es wurde weder eine Aufnahme in den Katalog der CISA Known Exploited Vulnerabilities noch eine KEV-Frist zur Behebung oder ein aktueller Bransys-KEV-Präzedenzfall bekannt gegeben.

Diese Unterscheidung ist wichtig: Unter den Annahmen ihrer Bewertung lassen sich die Schwachstellen aus der Ferne ausnutzen. Die verfügbaren Informationen belegen jedoch nicht, dass Angreifer sie aktiv einsetzen.

Upgrades sollten mit einer Überprüfung von Zugangsdaten und Netzwerk kombiniert werden

Organisationen sollten Android-Installationen aus dem betroffenen Versionsbereich herausführen und Bransys Android 11.00.00 oder höher installieren, sofern eine geeignete unterstützte Version verfügbar ist. Bransys-iOS-Installationen sollten ebenfalls auf 1.1.54 oder höher aktualisiert werden.

Da zwei Schwachstellen eingebettete Zugangsdaten betreffen, sollte das Aktualisieren der Endpunkte nicht als alleinige Schutzmaßnahme betrachtet werden. Flottenbetreiber sollten prüfen, ob offengelegte MQTT- oder FTP-Zugangsdaten weiterhin gültig sind und ob eine Rotation der Backend-Zugangsdaten erforderlich ist. Konkrete Anweisungen zur Rotation oder Indicators of Compromise wurden nicht veröffentlicht.

CISA empfiehlt Betreibern außerdem:

• Die Internet-Exponierung von ELD-bezogenen Backend-Diensten und Geräten der Steuerungssysteme zu minimieren.
• Betriebssysteme hinter Firewalls zu platzieren und von Unternehmensnetzwerken zu trennen.
• Bei erforderlichen Fernverbindungen abgesicherte Fernzugriffsmethoden einschließlich einer gepflegten VPN-Infrastruktur zu verwenden.
• Die betrieblichen Auswirkungen vor Änderungen an Produktionskonfigurationen zu bewerten.
• Defense-in-Depth-Maßnahmen sowie die Empfehlungen aus ICS-TIP-12-146-01B, Targeted Cyber Intrusion Detection and Mitigation Strategies umzusetzen.
• Verdächtige Aktivitäten anhand etablierter Verfahren zur Reaktion auf Sicherheitsvorfälle zu untersuchen und vermutete schädliche Aktivitäten an CISA zu melden.

Verteidiger sollten MQTT- und FTP-Authentifizierungsprotokolle auf unerwartete Quelladressen, ungewöhnlich hohe Sitzungszahlen, umfangreiche Lesevorgänge oder Zugriffe prüfen, die nicht dem normalen Flottenbetrieb entsprechen. CISA hat jedoch keine schwachstellenspezifischen Indicators, schädlichen IP-Adressen, Dateinamen oder Broker-Themen veröffentlicht.

Organisationen sollten außerdem sämtliche betroffenen Android- und iOS-Installationen erfassen. Werden die mobilen Anwendungen aktualisiert, ohne die gemeinsame MQTT- und FTP-Infrastruktur zu untersuchen, könnten historische Expositionen, aktive Zugangsdaten oder unbefugte Backend-Sitzungen unentdeckt bleiben.