Zwei Schwachstellen im Siemens License Server: Remote-Zugriff auf Dateien und Root-Rechte

CISA meldet zwei Schwachstellen im Siemens License Server

Ein CISA-Advisory beschreibt zwei Schwachstellen im Siemens License Server (SLS), einer Komponente zur Verwaltung von Siemens-Softwarelizenzen. Das Produkt wird weltweit im Bereich der Informationstechnologie eingesetzt; Siemens hat seinen Sitz in Deutschland.

Der Hinweis ICSA-26-225-07, der dem Siemens-ProductCERT-Advisory SSA-077553 zugeordnet ist, wurde von Siemens erstmals am 11. August 2026 veröffentlicht und am 13. August 2026 von CISA erneut herausgegeben.

Die beiden Schwachstellen unterscheiden sich deutlich. Eine erfordert lokalen Zugriff und bereits vorhandene erhöhte Berechtigungen, kann jedoch die Ausführung von Befehlen als root ermöglichen. Die andere ist über das Netzwerk ohne Authentifizierung ausnutzbar und erlaubt das Lesen beliebiger Dateien, die in der Anwendung vorhanden sind.

Siemens hat aktualisierte Versionen veröffentlicht und empfiehlt, SLS auf die neueste verfügbare Version zu aktualisieren. Die genaue erforderliche Version wird im Advisory nicht genannt.

Betroffene Versionen und die beiden CVE-Kennungen

Die im CSAF-Schema beschriebenen betroffenen Versionen sind:

• Siemens License Server (SLS) < V5.1: betroffen von CVE-2026-69108;
• Siemens License Server (SLS) < V5.3: betroffen von CVE-2026-69109.

Daher können auch Systeme, die mindestens auf Version 5.1 aktualisiert wurden, weiterhin für die zweite Schwachstelle anfällig sein, wenn sie nicht auf Version 5.3 oder eine spätere Version aktualisiert werden.

Das Advisory weist für das Produkt einen CVSS-v3-Score von 7,5 aus, der der remote ausnutzbaren Schwachstelle entspricht. Die beiden Schwachstellen haben jedoch unterschiedliche Bewertungen und Ausnutzungsbedingungen.

CVE-2026-69108: Eine sudoers-Richtlinie ermöglicht Aktionen mit Root-Rechten

CVE-2026-69108 betrifft eine unsichere Konfiguration der sudoers-Richtlinie. Die Schwachstelle ist als CWE-732 klassifiziert, also als fehlerhafte Berechtigungszuweisung für eine kritische Ressource.

Für die Ausnutzung sind lokaler Zugriff und bereits vorhandene erhöhte Berechtigungen erforderlich. Es handelt sich daher nicht um eine Schwachstelle, die allein einem nicht authentifizierten Remote-Angreifer den Zugriff auf das System ermöglicht. Sie kann jedoch einer bereits im Umfeld befindlichen Person Folgendes erlauben:

• beliebige Befehle auszuführen;
• schädliche Dateien mit root-Rechten zu schreiben;
• das betroffene System vollständig zu kompromittieren.

Der CVSS-3.1-Score beträgt 6,0, mit folgendem Vektor:

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Der Vektor weist auf lokalen Zugriff, eine geringe Angriffskomplexität und die erforderlichen hohen Berechtigungen ohne Benutzerinteraktion hin. Die Auswirkungen betreffen vor allem die Vertraulichkeit und Integrität des Systems; eine direkte Beeinträchtigung der Verfügbarkeit wird im Score nicht berücksichtigt.

CVE-2026-69109: Unauthentifiziertes Lesen beliebiger Dateien

CVE-2026-69109 ist eine Path-Traversal-Schwachstelle, klassifiziert als CWE-35. Die Anwendung bereinigt eine vom Benutzer kontrollierte Eingabe nicht ausreichend. Dadurch kann der angeforderte Pfad manipuliert und auf Dateien außerhalb des vorgesehenen Verzeichnisses zugegriffen werden.

Die erforderlichen Zugriffsbedingungen sind kritischer: Der Angriff kann remote, ohne Authentifizierung und ohne Benutzerinteraktion durchgeführt werden. Als Auswirkung wird das Lesen beliebiger Dateien in der Anwendung angegeben.

Die Schwachstelle hat einen CVSS-3.1-Score von 7,5, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

In der Praxis könnte eine über das Netzwerk erreichbare Installation einem Angreifer ermöglichen, vertrauliche Informationen abzurufen, ohne über ein Benutzerkonto zu verfügen. Die Kurzfassung nennt weder konkret gesuchte oder entwendete Dateien noch bestätigte Kompromittierungen.

Wer ist betroffen und welche Prüfungen sollten durchgeführt werden?

Betroffen sind Umgebungen, in denen Siemens License Server in den genannten Versionen ausgeführt wird. Das Risiko hängt auch von der Erreichbarkeit des Dienstes ab: Eine in einem Steuerungsnetz isolierte Instanz bietet eine andere Angriffsfläche als ein Server, der aus Unternehmensnetzen oder sogar direkt aus dem Internet erreichbar ist.

Administratoren sollten:

1. alle SLS-Installationen identifizieren und ihre Version überprüfen;
2. sie auf die neueste von Siemens bereitgestellte Version aktualisieren;
3. den Netzwerkzugriff durch Firewalls und restriktive Regeln beschränken;
4. eine direkte Internet-Exponierung der Steuerungssysteme verhindern;
5. industrielle Netze, Remote-Geräte und Unternehmensnetze voneinander trennen;
6. für Remote-Zugriffe aktuelle VPNs einsetzen und auch die Geräte absichern, von denen die Verbindungen ausgehen;
7. die Umgebung gemäß den Siemens-Richtlinien für Industrial Security und den Produkthandbüchern konfigurieren.

Vor Änderungen an Betriebssystemen oder industriellen Infrastrukturen müssen eine Auswirkungsanalyse und eine Risikobewertung durchgeführt werden. Organisationen sollten außerdem ihre Protokolle auf ungewöhnliche Anfragen nach Dateipfaden, unerwartete Zugriffe auf den Dienst sowie nicht autorisierte Änderungen an Dateien oder Konfigurationen mit administrativen Rechten prüfen.

Verdächtige Aktivitäten sollten gemäß den internen Verfahren zur Incident Response behandelt und CISA gemeldet werden.

Warnstatus und operative Priorität

Es ist nicht bekannt, ob diese Schwachstellen im Katalog Known Exploited Vulnerabilities (KEV) von CISA enthalten sind. Daher gibt es keine zugehörige KEV-Frist für die Anwendung der Korrekturen; außerdem ist kein Zusammenhang mit Ransomware-Kampagnen angegeben.

Das Fehlen dieser Informationen verringert die Priorität für exponierte Systeme nicht: CVE-2026-69109 erfordert keine Authentifizierung und kann das Remote-Lesen von Dateien ermöglichen. Bei CVE-2026-69108 bleiben der Schutz lokaler Berechtigungen und die Kontrolle administrativer Konten entscheidend.

Die wichtigste Maßnahme ist weiterhin die Aktualisierung des Siemens License Server in Verbindung mit einer Reduzierung der Netzwerkangriffsfläche. Wird lediglich der Patch eingespielt, während der Dienst aus nicht erforderlichen Netzen erreichbar bleibt, werden die Risiken durch unsichere Konfigurationen und unberechtigte Zugriffe nicht vollständig beseitigt.