Rockwell Automation: DoS-Schwachstelle in ControlLogix- und CompactLogix-Controllern

Eine aus der Ferne ausnutzbare Schwachstelle kann verschiedene industrielle Controller von Rockwell Automation in einen Fehlerzustand versetzen und dadurch ihren normalen Betrieb unterbrechen. Das als CVE-2021-42260 geführte Problem betrifft bestimmte Versionen der Produktfamilien ControlLogix, GuardLogix und CompactLogix.

Die CISA veröffentlichte den Hinweis am 1. September 2026 und griff damit das Advisory des Herstellers erneut auf. Die Schwachstelle wird als hoch eingestuft und kann ohne Authentifizierung oder Benutzerinteraktion durch manipulierte, speziell präparierte Daten ausgelöst werden.

Die Auswirkungen betreffen vor allem die Verfügbarkeit: Ein erfolgreicher Angriff kann einen Major Non-Recoverable Fault auslösen, kurz MNRF. Die Wiederherstellung erfolgt nicht unmittelbar und hängt davon ab, ob das Gerät Sicherheitsfunktionen ausführt.

Fünf Controller-Produktlinien betroffen

Rockwell Automation stuft fünf Controllerfamilien als verwundbar ein. Die Update-Schwellenwerte sind für alle Modelle gleich, müssen jedoch im Kontext des installierten Firmware-Zweigs interpretiert werden.

Produkt	Verwundbare Versionen
ControlLogix 5580	Versionen vor 34.015, 35.014, 36.013 und 37.011
GuardLogix 5580	Versionen vor 34.015, 35.014, 36.013 und 37.011
CompactLogix 5380	Versionen vor 34.015, 35.014, 36.013 und 37.011
Compact GuardLogix 5380	Versionen vor 34.015, 35.014, 36.013 und 37.011
CompactLogix 5480	Versionen vor 34.015, 35.014, 36.013 und 37.011

In der Praxis müssen Betreiber im Zweig 34 mindestens die Version 34.015 installieren. Für die nachfolgenden Zweige sind 35.014, 36.013 und 37.011 jeweils die ersten Versionen oberhalb des verwundbaren Schwellenwerts.

Alle aufgeführten Produkte sind als known_affected klassifiziert. Die Gefährdung wird daher nicht lediglich aufgrund gemeinsam genutzter Komponenten angenommen. OT-Administratoren sollten Modell, Funktion des Controllers und die tatsächlich ausgeführte Firmware-Version überprüfen.

Die Geräte werden im Bereich der kritischen Fertigung eingesetzt und weltweit vertrieben. Rockwell Automation hat seinen Sitz in den USA, die potenziellen Auswirkungen sind jedoch nicht auf nordamerikanische Anlagen beschränkt.

Endlosschleife führt zum Fehlerzustand

CVE-2021-42260 wird der Schwachstelle CWE-835 zugeordnet, die als „Loop with Unreachable Exit Condition“ bezeichnet wird. Die Software gerät dabei im Wesentlichen in eine Schleife, die sie nicht mehr verlassen kann, weil die dafür erforderliche Bedingung nicht erreicht werden kann.

Der anomale Zustand wird ausgelöst, indem dem Controller manipulierte und absichtlich präparierte Daten übermittelt werden. Weitere Einzelheiten zum Datenformat, zum betroffenen Protokoll oder zur genauen Abfolge zur Aktivierung des Fehlers wurden nicht veröffentlicht.

Das Ergebnis kann ein Major Non-Recoverable Fault sein, also ein schwerwiegender Fehler, nach dem der Controller nicht selbstständig in den normalen Betrieb zurückkehrt. In einer industriellen Umgebung kann dies zum Ausfall der gesteuerten Funktion und zur Notwendigkeit eines technischen Eingriffs führen.

Der Wiederherstellungsprozess hängt vom Gerätetyp ab:

• bei Safety Controllern muss das Programm erneut heruntergeladen werden;
• bei Non-Safety Controllern ist ein Reset der Stufe 2 erforderlich.

Diese Unterscheidung ist für die Planung der Reaktion relevant. Bei Systemen für die funktionale Sicherheit muss die Wiederherstellung den internen Verfahren zur Validierung und Wiederinbetriebnahme entsprechen. Der Fehlerzustand darf nicht wie ein gewöhnlicher Neustart behandelt werden.

Remote-Angriff ohne Zugangsdaten und mit geringer Komplexität

Die CVSS-3.1-Bewertung weist der Schwachstelle einen Wert von 7,5 von 10 und den Schweregrad HIGH zu:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Der Vektor beschreibt ein über das Netzwerk ausnutzbares Szenario mit geringer Komplexität und ohne vorher erforderliche Berechtigungen. Eine Aktion durch einen Bediener ist nicht erforderlich.

Die Auswirkungen beschränken sich auf die Verfügbarkeit. Die Metriken für Vertraulichkeit und Integrität weisen keinen Einfluss aus: Der Hinweis beschreibt weder den Diebstahl von Informationen noch die Änderung industrieller Programme oder die Manipulation von Prozessdaten. Das dokumentierte Risiko besteht in der Blockierung des Controllers.

Unter CVSS 4.0 steigt der Wert auf 8,7, weiterhin mit hohem Schweregrad:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Auch diese Bewertung bestätigt, dass keine Authentifizierung, Benutzerinteraktion oder zusätzlichen Voraussetzungen für den Angriff erforderlich sind. Das bedeutet jedoch nicht, dass jeder Controller von außen erreichbar ist: Die tatsächliche Exposition hängt von der Netzwerkarchitektur, den Firewalls und der Segmentierung der Anlage ab.

Keine bekannte öffentliche Ausnutzung und kein KEV-Fälligkeitsdatum

Die Schwachstelle wurde der CISA von Rockwell Automation gemeldet. Zum Zeitpunkt der Veröffentlichung des Hinweises lagen keine Meldungen über eine bekannte öffentliche Ausnutzung von CVE-2021-42260 vor.

Spezifische Indicators of Compromise wie IP-Adressen, Traffic-Signaturen oder zu suchende Log-Sequenzen wurden ebenfalls nicht bereitgestellt. Sicherheitsteams können dennoch auf unerwartete MNRF-Fehler, anomalen Datenverkehr zu den Controllern und Kommunikationsversuche aus nicht autorisierten Netzwerksegmenten achten.

Der Hinweis nennt keine Aufnahme der Schwachstelle in den Known Exploited Vulnerabilities-Katalog der CISA. Daher ist kein KEV-Fälligkeitsdatum für die Behebung angegeben. Die Veröffentlichung durch die US-Behörde darf somit nicht mit einer Bestätigung aktiver Ausnutzung verwechselt werden.

Als ursprüngliches Veröffentlichungsdatum ist der 1. September 2026 angegeben. Die mit demselben Datum gekennzeichnete Revision 1 besteht in der erneuten Veröffentlichung des Rockwell-Automation-Advisories.

Updates und Segmentierung sind die wichtigsten Schutzmaßnahmen

Die vorrangige Maßnahme besteht darin, die vom Hersteller bereitgestellten korrigierten Versionen zu installieren und jeden Controller mindestens auf den für seinen Firmware-Zweig vorgesehenen Schwellenwert zu aktualisieren. Vor dem Eingriff müssen jedoch die Auswirkungen auf den industriellen Prozess, die Wartungsfenster und die funktionale Sicherheit bewertet werden.

Insbesondere sollten Unternehmen:

1. die in den OT-Netzen vorhandenen ControlLogix- und CompactLogix-Modelle erfassen;
2. Firmware-Zweig und -Version jedes Geräts überprüfen;
3. die Aktualisierung auf die korrigierten Versionen planen;
4. Backups und Verfahren zur Wiederherstellung des Programms vorbereiten;
5. die ordnungsgemäße Funktion nach der Installation überprüfen.

Wenn das Update nicht sofort eingespielt werden kann, empfiehlt die CISA, die Exposition zu reduzieren. Controller dürfen nicht direkt aus dem Internet erreichbar sein. OT-Netze sollten durch Firewalls und Netzwerksegmentierung von den Unternehmensnetzen getrennt werden.

Der Fernzugriff sollte, sofern er zwingend erforderlich ist, über aktuelle und angemessen geschützte VPNs erfolgen. Eine VPN schützt jedoch keinen kompromittierten Endpunkt: Auch die Geräte, die zum Verbindungsaufbau mit der industriellen Umgebung berechtigt sind, müssen überprüft werden.

Darüber hinaus sollten die Kommunikationsverbindungen auf die erforderlichen Systeme und Protokolle beschränkt werden. Dabei ist ein Defense-in-Depth-Ansatz anzuwenden. Die CISA verweist außerdem auf das technische Dokument ICS-TIP-12-146-01B zur Erkennung und Eindämmung von Angriffen auf industrielle Steuerungssysteme.

Empfehlungen zum Schutz vor Phishing und Social Engineering bleiben ergänzende Maßnahmen. Das Vermeiden unerwünschter Links und Anhänge verringert die Wahrscheinlichkeit, dass ein Angreifer zunächst einen Arbeitsplatz kompromittiert und von dort aus anschließend das OT-Netz erreicht. Verdächtige Aktivitäten sollten nach den internen Verfahren behandelt und der CISA gemeldet werden, damit sie mit anderen Ereignissen korreliert werden können.