Ignition: Falsch gesetzte Standardberechtigungen ermöglichen die unbefugte Erstellung von Projekten

Die Schwachstelle CVE-2026-77393 betrifft Inductive Automation Ignition 8.1.53 und frühere Versionen. Eine mit nicht konfigurierten Rollen ausgelieferte Sicherheitseinstellung ermöglicht authentifizierten Benutzern mit Zugriff auf Gateway-Skripte, neue Projekte zu erstellen, auch wenn sie keiner autorisierten Rolle angehören.

Das Problem weist einen hohen Schweregrad auf und kann die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Umgebungen beeinträchtigen. Die Erstveröffentlichung erfolgte am 3. September 2026. Inductive Automation hat die Schwachstelle mit Ignition 8.1.54 behoben; die 8.3-Serie ist nicht betroffen.

Das leere Feld, das die Rollenanforderung außer Kraft setzt

Die Schwachstelle betrifft die Gateway-Einstellung „Create Project Role(s)“. In den anfälligen Versionen ist dieses Feld leer. Dadurch verlangt das System keine Zugehörigkeit zu einer Rolle, um die Erstellung eines Projekts zu autorisieren.

Es handelt sich nicht um einen Fehler bei der Durchführung der Zugriffskontrolle. Die Kontrolle setzt korrekt um, was in der Einstellung hinterlegt ist. Der Standardwert enthält jedoch keine Rolle, die überprüft werden könnte.

Die Schwachstelle wird daher als CWE-276 — Incorrect Default Permissions eingestuft, also als fehlerhafte Standardberechtigungen. Dieser Unterschied ist auch für die Abhilfe relevant: Wird das Feld korrekt ausgefüllt, verlangt die Zugriffskontrolle wieder die konfigurierte Rolle.

Um diese Bedingung auszunutzen, muss ein Angreifer:

• über ein authentifiziertes Konto verfügen;
• Gateway-Skripte ausführen können;
• das System über das Netzwerk erreichen können.

Die Interaktion einer weiteren Person ist dagegen nicht erforderlich. Auch die Angriffskomplexität wird als niedrig eingestuft, und die erforderlichen Vorrechte sind begrenzt.

Die Bewertung beträgt 8,8 von 10 nach CVSS 3.1, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Die CVSS-4.0-Bewertung liegt bei 8,7, mit folgendem Vektor:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Betroffene Versionen und Änderungen durch den Patch

Betroffen sind alle Versionen von Inductive Automation Ignition bis einschließlich 8.1.53. Die korrigierte Version ist Ignition 8.1.54.

Die Situation lässt sich wie folgt zusammenfassen:

Produkt	Versionen	Status
Inductive Automation Ignition 8.1	<= 8.1.53	Verwundbar
Inductive Automation Ignition 8.1	8.1.54 und höher	Behoben
Inductive Automation Ignition 8.3	Gesamte Serie	Nicht betroffen

Der Patch weist nicht lediglich einen anderen Standardwert zu. In Ignition 8.1.54 ist die Erstellung von Projekten auf Designer-Sitzungen beschränkt und hängt nicht mehr von der Einstellung „Create Project Role(s)“ ab.

Dieselbe Logik wird bereits in der 8.3-Serie verwendet. Installationen dieses Zweigs sind daher nicht von CVE-2026-77393 betroffen.

Administratoren sollten die tatsächlich auf jedem Gateway installierte Version überprüfen. Ein Inventar, das sich ausschließlich an der Hauptversion „8.1“ orientiert, reicht nicht aus: Entscheidend ist die Unterscheidung zwischen 8.1.53 und früheren Versionen sowie 8.1.54 und späteren Versionen.

Warum die Erstellung eines Projekts in Industrieumgebungen ein Risiko darstellt

Ignition wird weltweit eingesetzt und steht im Zusammenhang mit Umgebungen aus den Bereichen kritische Fertigung, Energie und Informationstechnologie. In diesen Kontexten können Projekte Komponenten und Logik enthalten, die mit den von der Plattform gesteuerten Automatisierungsprozessen verbunden sind.

Ein Konto mit scheinbar eingeschränkten Berechtigungen, das jedoch Gateway-Skripte ausführen darf, könnte ein neues Projekt anlegen, ohne über die für diesen Vorgang normalerweise erforderliche Rolle zu verfügen. Die Auswirkungen hängen von der konkreten Konfiguration der Installation und den Funktionen ab, auf die das erstellte Projekt zugreifen kann.

Die CVSS-Bewertung geht von potenziell hohen Auswirkungen auf alle drei wesentlichen Schutzziele aus:

• Vertraulichkeit, da möglicherweise Informationen zugänglich werden, die für das Konto nicht bestimmt sind;
• Integrität, da nicht autorisierte Inhalte oder Änderungen eingeführt werden könnten;
• Verfügbarkeit, falls die Aktion den ordnungsgemäßen Betrieb des Systems beeinträchtigt.

Es wurden keine Payloads, detaillierten Vorgehensweisen oder spezifischen Indicators of Compromise veröffentlicht. Ebenso sind keine öffentlichen Kampagnen bekannt, die sich gezielt gegen diese Schwachstelle richten.

Ein Eintrag von CVE-2026-77393 im Katalog Known Exploited Vulnerabilities (KEV) der CISA ist nicht angegeben. Daher sind weder ein Aufnahmedatum in den Katalog noch eine damit verbundene bundesweite Frist zur Behebung der Schwachstelle bekannt. Auch über etwaige jüngere frühere Einträge von Inductive Automation im KEV liegen keine Informationen vor.

Diese Unterscheidung ist wichtig: Die Schwachstelle bietet technisch günstige Voraussetzungen für eine Ausnutzung, wurde nach den verfügbaren Informationen jedoch nicht als aktiv ausgenutzt eingestuft.

Update und Workaround für 8.1-Installationen

Die empfohlene Maßnahme ist ein Update auf Ignition 8.1.54 oder eine höhere Version. Alternativ können Organisationen nach den erforderlichen Kompatibilitätsprüfungen die aktuelle Version der 8.3-Serie einsetzen.

Wenn ein Update nicht sofort möglich ist, steht für frühere 8.1-Versionen ein Workaround zur Verfügung:

1. die allgemeinen Sicherheitseinstellungen des Gateways öffnen;
2. das Feld „Create Project Role(s)“ suchen;
3. es ausdrücklich entsprechend der Designer Role konfigurieren;
4. mit Testkonten überprüfen, dass nur Benutzer mit der vorgesehenen Rolle Projekte erstellen können.

Durch die vollständige Konfiguration des Feldes wird die in CVE-2026-77393 beschriebene konkrete Bedingung beseitigt, da der Autorisierungsmechanismus die angegebenen Rollen korrekt durchsetzt.

Anweisungen zu diesem Parameter finden sich in der Dokumentation zu den Gateway General Security Settings. Informationen zu den Updates des Herstellers sind im Inductive Automation Trust Center verfügbar.

Auch ohne veröffentlichte technische Indicators of Compromise sollten Administratoren die vorhandene Projektliste prüfen und nach Projekten suchen, die entgegen den internen Verfahren erstellt wurden. Die konkrete Vorgehensweise beim Audit hängt von den in der Installation konfigurierten Logs und der Ereignisaufbewahrung ab.

Segmentierung, Fernzugriff und Reaktion auf verdächtige Ereignisse

Die CISA empfiehlt, Steuerungssysteme nicht direkt dem Internet auszusetzen. Gateways und andere industrielle Komponenten sollten durch Firewalls geschützt und mithilfe einer segmentierten Architektur von den Unternehmensnetzwerken getrennt werden.

Wenn ein Fernzugriff unverzichtbar ist, sollte ein aktuelles VPN verwendet werden, ohne es als alleinige Schutzmaßnahme zu betrachten. Ein verwundbares VPN oder ein kompromittiertes Remote-Gerät kann die Segmentierung andernfalls wirkungslos machen.

Vor Änderungen an einer produktiven Umgebung sollte die Organisation die Auswirkungen des Patches und des Workarounds auf industrielle Prozesse bewerten. Die Maßnahmen sollten anschließend durch Defense-in-Depth-Kontrollen, ein konsequentes Account-Management und die Einschränkung der Berechtigungen zur Ausführung von Gateway-Skripten ergänzt werden.

Verdächtige Aktivitäten sollten gemäß den internen Incident-Response-Verfahren behandelt und gegebenenfalls der CISA gemeldet werden. Auch Phishing und Social Engineering bleiben mögliche Wege, um das für die Ausnutzung erforderliche authentifizierte Konto zu erlangen.

Die Schwachstelle wurde von Christopher Lusk von North Echo Security Research gemeldet. Elhussain Fathy, bekannt als 0xSphinx, entdeckte das Problem unabhängig davon und bestätigte die Wirksamkeit der Korrektur.