Klartext-Anmeldedaten im Speicher: Johnson Controls behebt mittelschwere Schwachstelle im Simplex Incident Manager

Am 20. August 2026 veröffentlichte die CISA die Advisory ICSA-26-232-01, die von der Product Security Advisory JCI-PSA-2026-28 von Johnson Controls übernommen wurde. Die Meldung betrifft CVE-2026-27875, eine Schwachstelle der Klasse CWE-316 in der Software Simplex Incident Manager. Die Sicherheitslücke ermöglicht es einem lokalen Benutzer mit niedrigen Privilegien, Authentifizierungsdaten aus dem Systemspeicher zu extrahieren.

Die Entdeckung und Veröffentlichung

Die Schwachstelle wurde CISA direkt von Johnson Controls Inc. gemeldet, einem Unternehmen mit Sitz in Irland und weltweitem Vertrieb. Der Hersteller ist in kritischen Sektoren tätig, darunter kritische Fertigung, gewerbliche Einrichtungen, Dienstleistungen und Behörden, Transportsysteme und Energie. Die Advisory ist die Erstveröffentlichung der JCI-PSA-2026-28.

Zum Zeitpunkt der Veröffentlichung sind CISA keine öffentlich bekannten Exploits gemeldet. Die Schwachstelle ist nicht aus der Ferne ausnutzbar und erfordert eine hohe Angriffskomplexität. Das verringert das unmittelbare Risiko, beseitigt jedoch nicht die Notwendigkeit, in Umgebungen mit kritischen Infrastrukturen tätig zu werden.

Produkte und Versionen: ein uneinheitliches Bild

Die CISA-Advisory nennt als betroffenes Produkt Johnson Controls Simplex Incident Manager, Version bis einschließlich 2.01 (Status „known_affected“). Der NVD-Eintrag hingegen identifiziert das Produkt als „Simplex Incident Manager / Autocall Fire Administrator“ und meldet Versionen vor 2.01.05 als betroffen.

Der Name Autocall Fire Administrator erscheint nur im NVD-Eintrag; die CISA-Advisory erwähnt ihn nicht. Zudem weichen die Versionsgrenzen voneinander ab: CISA spricht von Version <=2.01, NVD von Versionen vor 2.01.05. Dieser Unterschied ist bei der Bewertung der eigenen Systemexposition zu berücksichtigen.

Der technische Mechanismus: CWE-316

Die Schwachstelle wird als CWE-316 „Cleartext Storage of Sensitive Information in Memory“ klassifiziert. Die Anwendung speichert während der Ausführung Benutzeranmeldedaten wie Passwörter und Authentifizierungstoken im Klartext im Systemspeicher.

Jeder mit lokalem Zugriff auf das System kann versuchen, die Daten zu extrahieren. Dazu genügen Memory-Dumping-Tools oder – bei Insidern mit erhöhten Rechten – direkter Zugriff auf den Speicher. Bei erfolgreicher Ausnutzung kann ein lokaler Angreifer mit niedrigen Privilegien potenziell unbefugten Zugriff auf die Anwendung und verbundene Systeme erlangen.

Schweregrad und Auswirkungen

Beide CVSS-Bewertungssysteme vergeben einen Basiswert von 5,8, Schweregrad MITTEL.

CVSS v3.1: Vektor CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:L. Dies bedeutet lokaler Angriff, hohe Komplexität, erforderliche niedrige Privilegien, keine Benutzerinteraktion und Auswirkungen nur auf die verwundbare Komponente. Die Vertraulichkeit wird stark beeinträchtigt, Integrität und Verfügbarkeit gering.

CVSS v4.0: Vektor CVSS:4.0/AV:L/AC:H/AT:P/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N. Auch hier beträgt der Wert 5,8. Der v4-Vektor sieht keine Auswirkungen auf nachgelagerte Komponenten vor.

Die konkreten Auswirkungen betreffen Systeme, auf denen Simplex Incident Manager ausgeführt wird: Ein lokaler Benutzer, der Anmeldedaten extrahiert, kann sich lateral zu verbundenen Systemen bewegen und so das Risiko einer Kompromittierung der Incident-Management-Infrastruktur erhöhen.

Es ist nicht bekannt, ob die Schwachstelle in den KEV-Katalog der CISA aufgenommen wurde. Zum Zeitpunkt der Veröffentlichung sind keine öffentlich bekannten Exploits bekannt. Es liegen keine Informationen zu jüngeren Johnson-Controls-Einträgen im KEV vor.

Updates und Mitigationsmaßnahmen

Johnson Controls hat eine korrigierte Version veröffentlicht. Allerdings sind die Angaben zur behebenden Version zwischen den Quellen nicht konsistent.

Laut CISA ist die korrigierte Version „v2.01.01“, aber dieselbe Advisory empfiehlt, Simplex Incident Manager auf Version v1.01.05 oder höher zu aktualisieren. Der NVD-Eintrag nennt als betroffen Versionen „before 2.01.05“, was impliziert, dass 2.01.05 die Fix-Schwelle darstellt.

Diese Abweichung erfordert Aufmerksamkeit: Vor dem Einspielen des Updates ist die Product Security Advisory JCI-PSA-2026-28 auf der Website des Herstellers zu prüfen.

Zusätzlich zum Update empfehlen Johnson Controls und CISA ergänzende Schutzmaßnahmen:

• Lokalen Zugriff auf Systeme mit Simplex Incident Manager auf autorisiertes Personal beschränken;
• Endpoint-Schutz und -Überwachung implementieren, um Memory-Dumping-Tools oder verdächtige Prozesse zu erkennen;
• strenge Zugriffskontrollrichtlinien und das Prinzip der geringsten Rechte auf den Hosts anwenden;
• vollständige Festplattenverschlüsselung und Secure Boot verwenden, um das Risiko einer Offline-Speicheranalyse zu verringern;
• unbefugte lokale Zugriffsversuche überwachen und Audit-Logging aktivieren.

Empfehlungen für ICS-Betreiber

CISA empfiehlt, vor der Umsetzung von Schutzmaßnahmen eine Auswirkungsanalyse und Risikobewertung durchzuführen. Für ICS-Umgebungen betont die Behörde die Bedeutung der Defense-in-Depth und verweist auf das Dokument ICS-TIP-12-146-01B zu Schutzstrategien für industrielle Netze.

Betreiber sollten außerdem verdächtige Aktivitäten an CISA melden, um Nachverfolgung und Korrelation zu ermöglichen. Die Anti-Phishing- und Anti-Social-Engineering-Maßnahmen bleiben gültig: Öffnen Sie keine Links oder Anhänge in unerwünschten E-Mails.

Die Referenz für detaillierte Anweisungen ist die Security-Advisories-Seite von Johnson Controls: https://www.johnsoncontrols.com/trust-center/cybersecurity/security-advisories, mit der Advisory JCI-PSA-2026-28.