NetStaX EtherNet/IP: Kritischer Buffer Overflow in Pyramid-Solutions-Kits – Update auf Version 5.6.1

Eine kritische Schwachstelle im NetStaX-EtherNet/IP-Stack von Pyramid Solutions kann eine Speicherbeschädigung verursachen und die darin integrierten Geräte zum Absturz bringen. Das als CVE-2026-78012 identifizierte Problem lässt sich über das Netzwerk ohne Authentifizierung und ohne Interaktion des Benutzers ausnutzen.

CISA veröffentlichte den Advisory am 3. September 2026 als erste erneute Veröffentlichung einer Mitteilung von Pyramid Solutions. Betroffen sind alle Versionen vor v5.6.1 von acht EtherNet/IP-Kits, einschließlich der Varianten mit CIP Security.

Zum Zeitpunkt der Veröffentlichung des Advisories waren keine öffentlich bekannten Fälle eines gezielten Exploits dokumentiert. Die Schwachstelle sollte dennoch nicht als marginal eingestuft werden: Sie erreicht einen CVSS-v3.1-Score von 9.8 von 10 und kann durch das Senden einer Class-3-Anfrage aktiviert werden, deren Größe den vom Programm verwalteten Puffer überschreitet.

Acht EtherNet/IP-Kits vor v5.6.1 verwundbar

CVE-2026-78012 betrifft den Pyramid Solutions NetStaX EtherNet/IP Stack. Die Schwachstelle ist in allen Versionen vor v5.6.1 der folgenden Komponenten vorhanden:

• EtherNet/IP Adapter DLL Kit (EIPA): Versionen vor v5.6.1;
• EtherNet/IP Adapter DLL Kit with CIP Security (EIPA-SECURE): Versionen vor v5.6.1;
• EtherNet/IP Adapter Development Kit (EADK): Versionen vor v5.6.1;
• EtherNet/IP Adapter Development Kit with CIP Security (EADK-SECURE): Versionen vor v5.6.1;
• EtherNet/IP Scanner DLL Kit (EIPS): Versionen vor v5.6.1;
• EtherNet/IP Scanner DLL Kit with CIP Security (EIPS-SECURE): Versionen vor v5.6.1;
• EtherNet/IP Scanner Development Kit (ESDK): Versionen vor v5.6.1;
• EtherNet/IP Scanner Development Kit with CIP Security (ESDK-SECURE): Versionen vor v5.6.1.

Die Bezeichnung „Secure“ schließt das Risiko nicht aus. Auch Varianten mit CIP Security bleiben verwundbar, wenn sie eine Stack-Version unterhalb der erforderlichen Schwelle verwenden.

Eine detailliertere Liste der betroffenen Builds wurde nicht veröffentlicht. Um die eigene Betroffenheit zu prüfen, muss daher zunächst das im Produkt integrierte Kit identifiziert und anschließend kontrolliert werden, ob die tatsächlich eingesetzte Version mindestens v5.6.1 entspricht.

Dafür kann die Einbindung des Geräteherstellers erforderlich sein. NetStaX kann in Industriekomponenten integriert sein, ohne in Managementoberflächen oder Softwareinventaren unbedingt unter einem eindeutig erkennbaren Namen aufgeführt zu werden.

Eine zu große Class-3-Anfrage überschreibt den Puffer

Der Fehler ist als CWE-121, stack-based buffer overflow klassifiziert. Er tritt in der Verarbeitung von Class 3 explicit-message-Anfragen von EtherNet/IP auf.

Ein Angreifer aus der Ferne kann eine ausreichend große Anfrage senden, die über den von der Anwendung vorgesehenen Empfangspuffer hinausgeht. Die Software erzeugt zuvor keinen Fehler oder Hinweis, der die Bedingung zuverlässig blockiert oder meldet.

Das Schreiben über die Grenzen des Puffers hinaus kann den Stack-Speicher verändern. Zu den dokumentierten Auswirkungen gehören:

• Speicherbeschädigung;
• Absturz oder Ausfall des Geräts;
• Eröffnung eines möglichen Angriffsvektors aus der Ferne;
• das Ausbleiben eines CIP-Fehlers beim sendenden Gerät, der auf die nicht erfolgte Verarbeitung der Anfrage hinweist.

Der letzte Punkt kann die Überwachung erschweren. Das System, das die fehlerhafte Nachricht übermittelt, erhält möglicherweise keine konsistente Fehlermeldung zu der beim Empfänger aufgetretenen Störung.

Die Ausführung beliebigen Codes ist dagegen nicht als sichere Folge bestätigt. Der Buffer Overflow und die Speicherbeschädigung machen den Fehler schwerwiegend, doch die verfügbaren Informationen belegen nicht, dass ein Angreifer ihn zuverlässig in eine Ausführung von Code aus der Ferne umwandeln kann.

Warum die Schwachstelle als kritisch eingestuft wird

CISA bewertet CVE-2026-78012 mit einem CVSS-v3.1-Score von 9.8 und folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Bewertung beschreibt einen über das Netzwerk ausführbaren Angriff mit geringer Komplexität, für den keine vorherigen Berechtigungen und keine Aktionen eines Bedieners erforderlich sind. Die potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden sämtlich als hoch eingestuft.

Auch der CVSS-v4.0-Score ist kritisch: 9.3, mit folgendem Vektor:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

In der Praxis ist die Verfügbarkeit das unmittelbarste ausdrücklich dokumentierte Risiko. Ein Industriegerät, das nach dem Empfang einer speziell präparierten Nachricht ausfällt, kann die Kommunikation, die Überwachung oder in den Prozess integrierte Funktionen unterbrechen.

Die tatsächlichen Folgen hängen jedoch von der Rolle der verwundbaren Komponente, der Anlagenarchitektur und den Netzwerkschutzmaßnahmen ab. Konkrete Modelle von Endgeräten, in denen der Stack integriert ist, wurden nicht genannt. Auch liegen keine mit einer Kampagne verbundenen Indicators of Compromise vor.

Mögliche Auswirkungen in industriellen Umgebungen

Die Produkte werden weltweit eingesetzt. Als kritische Sektoren werden Fertigung, Energieversorgung, Wasser- und Abwasserwirtschaft sowie die Chemieindustrie genannt.

In diesen Umgebungen bedeutet ein Absturz nicht lediglich den vorübergehenden Ausfall eines IT-Dienstes. Er kann ein industrielles Kommunikationsgerät un verfügbar machen, einen Neustart erforderlich machen oder die Bediener dazu zwingen, Wiederherstellungs- und Kontinuitätsverfahren einzuleiten.

Die tatsächliche Gefährdung hängt vor allem von der Erreichbarkeit des verwundbaren Dienstes ab. Ein System, das aus nicht vertrauenswürdigen Netzen, aus unzureichend getrennten Unternehmenssegmenten oder direkt aus dem Internet erreichbar ist, bietet einem Angreifer eine deutlich größere Angriffsfläche.

Pyramid Solutions meldete das Problem an CISA. Zum Zeitpunkt der Veröffentlichung des Advisories lagen der Behörde keine Meldungen über öffentlich dokumentierte Exploits vor, die sich gezielt gegen CVE-2026-78012 richteten.

Eine Aufnahme der Schwachstelle in den Katalog Known Exploited Vulnerabilities (KEV) von CISA wurde nicht gemeldet. Ebenso ist keine bundesweite Frist zur Behebung angegeben. Nach aktuellem Informationsstand fehlt damit die operative Bestätigung eines aktiven Exploits, die eine Aufnahme in den KEV normalerweise liefern würde.

Erforderliche Updates und Prüfungen

Die wichtigste Maßnahme besteht darin, jedes betroffene Kit auf die Version v5.6.1 oder höher zu aktualisieren. Ein universelles Updateverfahren wurde nicht veröffentlicht, da die Vorgehensweise vom Produkt abhängen kann, in das der Stack integriert ist.

Verantwortliche für OT und ICS sollten beim Asset-Inventar beginnen und sowohl nach dem Namen NetStaX als auch nach den Bezeichnungen EIPA, EIPA-SECURE, EADK, EADK-SECURE, EIPS, EIPS-SECURE, ESDK und ESDK-SECURE suchen. Wenn die Version nicht sichtbar ist, muss eine Bestätigung beim Anbieter des Geräts oder der Anwendung eingeholt werden.

Vor der Bereitstellung in der Produktion sollten die Auswirkungen des Updates auf den industriellen Prozess bewertet, das Update in einer kontrollierten Umgebung getestet und ein Wiederherstellungsplan vorbereitet werden. Die Notwendigkeit betrieblicher Tests sollte jedoch nicht zu einer unbefristeten Verschiebung führen.

Falls ein sofortiges Update nicht möglich ist, empfiehlt CISA, die Erreichbarkeit der betroffenen Systeme zu reduzieren:

1. direkte Verbindungen zum Internet vermeiden;
2. Geräte und Steuerungsnetze hinter Firewalls platzieren;
3. industrielle Netze von der Unternehmensinfrastruktur trennen;
4. ausschließlich unbedingt erforderliche Datenströme zulassen;
5. bei notwendigem Fernzugriff aktuelle VPNs verwenden;
6. Defense-in-Depth-Kontrollen auf ICS-Assets anwenden.

Eine VPN behebt den Buffer Overflow nicht und schützt eine Anlage nicht, wenn die autorisierten Endpunkte bereits kompromittiert sind. Sie schränkt den Zugangsweg ein, ersetzt aber nicht den Patch.

Worauf bei der Überwachung zu achten ist

IP-Adressen, Malware-Signaturen oder andere mit einem Exploit verbundene Indicators of Compromise wurden nicht veröffentlicht. Die Überwachung sollte sich daher auf Verhaltensweisen konzentrieren, die mit dem Fehler vereinbar sind.

Zu den zu untersuchenden Ereignissen gehören ungewöhnlich große Class 3 explicit-message-Anfragen, ungeklärte Abstürze oder Neustarts von EtherNet/IP-Geräten sowie Anomalien, die unmittelbar nach dem Empfang von Datenverkehr aus bislang nicht üblichen Systemen auftreten.

Sinnvoll ist auch, das Ausbleiben von CIP-Antworten mit Ausfällen oder Instabilitäten beim Empfänger zu korrelieren. Eine fehlende Antwort allein beweist keinen Angriff, kann jedoch dabei helfen, die Sequenz vor dem Ausfall zu rekonstruieren.

Verdächtige Aktivitäten sollten über die internen Verfahren zur Incident Response bearbeitet werden. Die Priorität bleibt jedoch eindeutig: NetStaX-Integrationen identifizieren, die Netzwerkexposition begrenzen und mindestens auf v5.6.1 aktualisieren.