CISA erweitert Warnung zu iDirect-Satellitenterminals um kritische Schwachstelle zur Rechteausweitung

Die US-Behörde Cybersecurity and Infrastructure Security Agency hat ihre Warnung vor Schwachstellen in ST Engineering iDirect-Satellitenterminals erweitert. Hinzugekommen sind zwei Schwachstellen, durch die sich Passwort-Hashes auslesen und lokal Berechtigungen erweitern lassen.

Update A vom 10. September umfasst vier Schwachstellen in Terminals der Baureihen Evolution iQ-Series, 3315-Series und 9-Series, auf denen Version 4.5.2.1 oder eine ältere Version läuft. Erfolgreiche Angriffe könnten Daten zur Satellitenauthentifizierung offenlegen, den administrativen Zugriff kompromittieren, lokale Berechtigungen erweitern oder die Kommunikation durch wiederholte Neustarts eines Terminals unterbrechen.

In der Zusammenfassung von CISA erhält der Sicherheitshinweis insgesamt einen CVSS-v3-Score von 8,8. Die einzelnen CVSS-v3.1-Werte liegen zwischen 7,5 und 8,8, während die Schwachstelle zur lokalen Rechteausweitung nach CVSS v4.0 mit dem kritischen Wert 9,4 bewertet wird.

September-Update ergänzt zwei Schwachstellen mit weitreichenden Auswirkungen

CISA veröffentlichte den Sicherheitshinweis zu iDirect iQ-Series zunächst am 2. Juli. Mit dem Update vom 10. September wurden CVE-2026-38056 und CVE-2026-38058 ergänzt, die Angaben zu den Schwachstellen und zu CVSS v4.0 überarbeitet sowie die Hinweise zu den Gegenmaßnahmen aktualisiert.

Betroffen sind die drei folgenden Produktreihen:

• Evolution iQ-Series-Terminals, Version 4.5.2.1 und älter
• 3315-Series-Terminals, Version 4.5.2.1 und älter
• 9-Series-Terminals, Version 4.5.2.1 und älter

Die Nummer der fehlerbereinigten Version wurde nicht veröffentlicht. CISA empfiehlt Betreibern, die neueste verfügbare Produktversion von ST Engineering iDirect zu installieren.

Obwohl sich der Produktumfang auf drei Terminalfamilien erstreckt, konzentrieren sich die technischen Beschreibungen auf das iDirect iQ200. Die Schwachstelle zur Rechteausweitung bezieht sich ausdrücklich auf ein iQ200-VSAT-Terminal mit Firmware 23.0.1.0.

Die Geräte kommen weltweit in den Bereichen Kommunikation, Verteidigung, Energie, Behörden, Verkehr, Schifffahrt, Öl und Gas sowie bei abgelegener Infrastruktur zum Einsatz. An isolierten Standorten kann ein Satellitenterminal die wichtigste oder einzige Kommunikationsverbindung bereitstellen. Dadurch kann bereits ein kurzer Neustart erhebliche betriebliche Auswirkungen haben.

Ungeschützte APIs legen Terminal- und Authentifizierungsdaten offen

CVE-2026-38059 ist eine Schwachstelle zur Offenlegung von Informationen ohne Authentifizierung, die auf einer fehlenden Authentifizierung für eine kritische Funktion beruht. Sie erhält einen CVSS-v3.1-Score von 7,5 und einen CVSS-v4.0-Score von 8,7.

Das iQ200 stellt die REST-Endpunkte /api/identity und /api/ für Angreifer mit Netzwerkzugriff bereit, ohne dass diese sich anmelden müssen. Die Antworten können folgende Daten offenlegen:

• Seriennummer des Terminals
• Geräte-ID beziehungsweise DID
• Kennung des privaten Terminal-Schlüssels beziehungsweise TPK
• MAC-Adresse
• Exakte Firmwareversion

DID und TPK werden innerhalb der iDirect-Plattform zur Authentifizierung im Satellitennetz verwendet. Ihre Offenlegung belegt für sich genommen nicht, dass ein Angreifer ein Terminal übernehmen kann. Die Informationen können jedoch die Aufklärung des Netzwerks und Versuche unterstützen, ein Gerät zu imitieren.

Für die Ausnutzung sind weder Berechtigungen noch eine Interaktion durch den Benutzer erforderlich. Die unmittelbare Auswirkung betrifft die Vertraulichkeit. Die offengelegte Firmwareversion liefert einem Angreifer jedoch präzise Informationen, um nachfolgende Angriffstechniken auszuwählen.

Offenlegung von Passwort-Hashes und lokale Rechteausweitung ermöglichen die Übernahme

CVE-2026-38058 wird nach CVSS v3.1 mit 8,1 und nach CVSS v4.0 mit 8,6 bewertet. Die Schwachstelle legt vertrauliche Konfigurationsdaten für Benutzer mit gültigen Webzugangsdaten offen.

Ein verwundbarer Endpunkt gibt die vollständige Terminalkonfiguration als JSON zurück. Im Abschnitt SECURITY befinden sich MD5-crypt-Passwort-Hashes sowohl für das Root-SSH-Konto als auch für das Webadministrationskonto.

Ein Angreifer muss die Klartextpasswörter nicht auf dem Terminal wiederherstellen. Die Hashes können kopiert und offline angegriffen werden, wo Rate-Limits und die Überwachung von Authentifizierungsversuchen keinen Schutz mehr bieten. Sind die Passwörter schwach oder werden sie mehrfach verwendet, kann handelsübliche Hardware ausreichen, um sie zu knacken und privilegierten SSH- oder Administrationszugriff zu erlangen.

Die zweite mit Update A ergänzte Schwachstelle, CVE-2026-38056, betrifft die lokale Autorisierung. Sie erhält einen CVSS-v3.1-Score von 8,8 und wird nach CVSS v4.0 mit dem kritischen Wert 9,4 bewertet.

Das betroffene iQ200 wird mit einem vorkonfigurierten lokalen Konto mit eingeschränkten Berechtigungen ausgeliefert. Es soll Außendiensttechnikern für Wartungs- und Diagnosearbeiten Shell-Zugriff ermöglichen. Dieses Konto sollte keine administrativen Rechte besitzen, bietet aber die notwendige Ausgangsposition zur Ausnutzung der Schwachstelle. Weitere Zugangsdaten müssen weder beschafft noch per Brute-Force ermittelt werden.

Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Die Bewertung nach v4.0 berücksichtigt außerdem Auswirkungen auf Systeme, die mit dem Terminal verbunden sind oder von ihm abhängen. Das erklärt die kritische Einstufung trotz des lokalen Angriffsvektors.

Browserbasierter Angriff kann die Satellitenverbindung neu starten

CVE-2026-38057 ist eine Cross-Site-Request-Forgery-Schwachstelle, die statusverändernde API-Operationen betrifft. Sie wird nach CVSS v3.1 mit 8,1 und nach CVSS v4.0 mit 7,0 bewertet.

Nach der Authentifizierung eines Administrators prüft das iQ200 bei relevanten Anfragen keine CSRF-Tokens. Außerdem fehlt dem Sitzungscookie das Attribut SameSite. Daher akzeptiert der Endpunkt /api/reboot eine Cross-Origin-POST-Anfrage, die das aktive Sitzungscookie des Administrators enthält.

Ein Angreifer könnte die Anfrage auf einer bösartigen Webseite platzieren und einen angemeldeten Administrator dazu bringen, diese aufzurufen. Der Browser würde den Neustartbefehl daraufhin übermitteln, ohne dass sich der Angreifer direkt am Terminal authentifizieren muss.

Eine erfolgreiche Anfrage unterbricht die Satellitenverbindung sofort. Wiederholte Anfragen könnten das Gerät in einer Neustartschleife halten und so einen anhaltenden Denial-of-Service-Zustand verursachen.

Für diesen Angriff ist eine Interaktion durch den Administrator erforderlich, wodurch er sich vom nicht authentifizierten Abfluss von Identitätsdaten unterscheidet. In Umgebungen, in denen das Terminal Offshore-Einsätze, ein Schiff, eine Verteidigungsanlage oder einen isolierten Industriestandort unterstützt, kann der daraus resultierende Ausfall weit über den normalen Internetzugang hinausgehen.

Die vier Schwachstellen können einen mehrstufigen Angriff ermöglichen

Die Schwachstellen sind nicht voneinander abhängig, bieten jedoch Möglichkeiten, die sich kombinieren lassen.

Ein nicht authentifizierter Angreifer könnte zunächst CVE-2026-38059 nutzen, um das Terminal zu erfassen und Informationen zu Identität und Firmware abzurufen. Der Zugriff auf ein beliebiges gültiges Webkonto könnte anschließend CVE-2026-38058 für das Auslesen privilegierter Passwort-Hashes und deren Wiederherstellung per Offline-Angriff nutzbar machen.

Ein Angreifer, der das lokale Techniker-Konto erreicht, könnte CVE-2026-38056 ausnutzen, um erweiterte Berechtigungen zu erlangen. Unabhängig davon bietet CVE-2026-38057 eine Möglichkeit, die Verbindung über den Browser eines authentifizierten Administrators zu unterbrechen.

Mögliche Folgen sind die Kompromittierung der Administration, verändertes Terminalverhalten, die Aufklärung des Satellitennetzes, Versuche zur Geräte-Imitation und der Verlust der Kommunikation. Das Risiko ist dort am höchsten, wo keine alternativen Verbindungen verfügbar sind oder nachgelagerte Abläufe auf eine kontinuierliche Verbindung angewiesen sind.

CISA lagen zum Zeitpunkt des Sicherheitshinweises keine Berichte über eine bekannte öffentliche Ausnutzung vor, die sich gezielt gegen diese vier Schwachstellen richtete. Sie sind nicht als Einträge im Katalog der Known Exploited Vulnerabilities von CISA aufgeführt; daher gibt es keine KEV-Frist für die Behebung. Ahmed Alqahtani von Aramco meldete die Schwachstellen.

Betreiber sollten aktualisieren, den Managementzugriff isolieren und nach Anzeichen einer Ausnutzung suchen

Betreiber sollten alle betroffenen Terminals auf die neueste von ST Engineering iDirect bereitgestellte Version aktualisieren. Da die konkrete fehlerbereinigte Version nicht genannt wird, sollten Unternehmen die passende Version direkt über den etablierten Supportkanal des Herstellers bestätigen.

Management-Schnittstellen sollten nicht direkt aus dem Internet erreichbar sein. Die Terminaladministration sollte auf vertrauenswürdige Managementnetzwerke beschränkt, durch Firewalls geschützt und von Geschäftssystemen getrennt werden.

Verteidiger sollten außerdem:

• Den Zugriff auf /api/identity, /api/, Konfigurationsendpunkte und /api/reboot überprüfen.
• Anfragen untersuchen, mit denen Terminalidentitätsdaten oder vollständige JSON-Konfigurationen abgerufen wurden.
• Nach wiederholten Neustartanforderungen, unerklärlichen Neustarts und einem plötzlichen Verlust der Satellitenverbindung suchen.
• Das vorkonfigurierte Techniker-Konto prüfen und deaktivieren oder absichern, wenn es betrieblich nicht benötigt wird.
• Root-SSH- und Webadministrationszugangsdaten ändern, wenn Konfigurationsdaten möglicherweise offengelegt wurden.
• Ausgelesene MD5-crypt-Hashes als kompromittiert behandeln, statt auf Belege dafür zu warten, dass sie geknackt wurden.
• Nach ungewöhnlichen administrativen Anmeldungen, der Wiederverwendung von Zugangsdaten und unbefugten Konfigurationsänderungen suchen.
• Privilegierte Schnittstellen auf autorisiertes Personal und kontrollierte Quelladressen beschränken.

Vor der Umsetzung sollten Änderungen einer Bewertung ihrer betrieblichen Auswirkungen unterzogen werden, insbesondere wenn Terminals sicherheitskritische oder abgelegene Funktionen unterstützen. Eine Netzwerkisolierung behebt die zugrunde liegenden Softwarefehler nicht, kann aber die Zahl der Systeme und Personen, die auf die verwundbaren APIs und Administrationsdienste zugreifen können, deutlich verringern.