Rockwell Automation OTTO Fleet Manager: Schwache bcrypt-Hashes gefährden Zugangsdaten

Rockwell Automation hat ein Update für OTTO Fleet Manager veröffentlicht, um eine Schwachstelle zu beheben, die den Passwortschutz schwächt. Die als CVE-2026-75112 identifizierte Schwachstelle wurde als CWE-916, „Use of Password Hash With Insufficient Computational Effort", eingestuft. Im Wesentlichen werden die zum Schutz der Anmeldedaten verwendeten bcrypt-Hashes mit einem zu niedrigen Arbeitsfaktor generiert. Ein Angreifer, der ein unverschlüsseltes Systembackup erlangt, kann so Offline-Brute-Force-Angriffe mit reduziertem Rechenaufwand durchführen.

Die Schwachstelle wurde von Rockwell Automation an die CISA gemeldet und am 27. August 2026 in der Advisory Rockwell Automation SD1791 erneut veröffentlicht. Derzeit sind keine öffentlichen Ausbeutungsaktivitäten bekannt. Der Schweregrad ist mittel: Basiswert 6,8 nach CVSS v3.1 und 6,9 nach CVSS v4.0.

Ein weniger robuster Passwortschutz als erwartet

Der Kern des Problems liegt in der Implementierung des bcrypt-Algorithmus. Bcrypt ist ein Hashing-Algorithmus, der bewusst langsam und rechenintensiv ist, um das Erraten von Passwörtern zu erschweren. Sein Rechenaufwand hängt von einem Parameter ab, der die Anzahl der Iterationen festlegt. Ist dieser Parameter, der sogenannte Arbeitsfaktor, zu niedrig eingestellt, können die Hashes deutlich schneller verifiziert werden als vorgesehen.

In OTTO Fleet Manager ermöglicht der unzureichende Arbeitsfaktor einem Angreifer, die Zeit zum Ausprobieren von Millionen von Passwortkombinationen zu reduzieren. Es handelt sich nicht um eine Schwachstelle, die eine Authentifizierungsumgehung oder die Ausführung beliebigen Codes erlaubt. Vielmehr schwächt sie den Schutz gespeicherter Passwörter und erleichtert das Wiederherstellen der Klartext-Anmeldedaten. Die Einstufung als CWE-916 unterstreicht genau diese Schwäche: die Verwendung eines Passwort-Hashes mit unzureichendem Rechenaufwand.

Die Angriffskette: lokaler Zugriff und unverschlüsselte Backups

Die Ausnutzung der Schwachstelle ist aus der Ferne nicht möglich. Gemäß dem CVSS-v3.1-Vektor erfordert der Angriff Zugriff über ein benachbartes Netzwerk, niedrige Privilegien und keine Benutzerinteraktion. In der Praxis muss sich der Angreifer bereits im lokalen Netzwerk der Organisation befinden oder Zugriff auf ein benachbartes Gerät haben. Niedrige Privilegien bedeuten, dass ein Benutzer mit eingeschränkten Anmeldedaten den Angriff versuchen kann.

Der kritische Punkt sind die System-Backups. Wenn ein unverschlüsseltes Backup von OTTO Fleet Manager kompromittiert wird, kann ein Angreifer die darin enthaltenen Passwort-Hashes extrahieren. Mit dem geschwächten Schutz kann der Angreifer einen Offline-Brute-Force-Angriff starten, um die Passwörter wiederherzustellen. Das konkrete Risiko ist die Kompromittierung von Anmeldedaten und der daraus resultierende unbefugte Zugriff auf das Flottenmanagementsystem. Die Bedingung eines unverschlüsselten Backups ist ein Schlüsselelement: Ohne dieses hat der Angriff kein Material, mit dem er arbeiten kann.

Betroffene Versionen und Auswirkungen auf kritische Sektoren

Alle Versionen von Rockwell Automation OTTO Fleet Manager bis einschließlich V2.36.2 sind betroffen. Die korrigierte Version ist 2.36.3, verfügbar über das Dateifreigabe-Portal von OTTO Motors unter file-share.ottomotors.com/login.

Die Schwachstelle betrifft hauptsächlich die kritische Fertigung und Transportsysteme, weltweit verbreitet. Gemäß dem CVSS-v3.1-Vektor (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N) ist die Auswirkung auf die Vertraulichkeit hoch (C:H), während Integrität und Verfügbarkeit nicht beeinträchtigt sind. Der Scope-Wechsel (S:C) deutet darauf hin, dass sich die Auswirkung über die verwundbare Komponente hinaus erstrecken kann. Der CVSS-v4.0-Vektor (CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N) bestätigt hohe Vertraulichkeit auf dem verwundbaren System und keine Auswirkungen auf nachgelagerte Systeme.

Gegenmaßnahmen: Aktualisieren oder Backups verschlüsseln

Die wichtigste Minderungsmaßnahme ist das Aktualisieren auf OTTO Fleet Manager 2.36.3. Für diejenigen, die den Patch nicht sofort anwenden können, empfiehlt Rockwell Automation, die unter support.rockwellautomation.com verfügbaren Best Practices zu befolgen und das verschlüsselte System-Backup zu aktivieren, wie in der Advisory Rockwell Automation SD1791 beschrieben.

Die CISA empfiehlt insbesondere:

• Die Netzwerkexposition aller Steuerungssysteme zu minimieren.
• Steuerungssysteme nicht direkt dem Internet auszusetzen.
• ICS-Netzwerke und entfernte Geräte hinter Firewalls zu platzieren.
• Steuerungsnetzwerke von Geschäftsnetzwerken zu isolieren.
• Aktuelle VPNs für den Fernzugriff zu verwenden.

Vor der Anwendung von Gegenmaßnahmen wird eine Analyse der Auswirkungen und Risiken empfohlen. Diese Empfehlungen sind Standard für industrielle Umgebungen und reduzieren die gesamte Angriffsfläche.

Keine Hinweise auf aktive Ausnutzung

Derzeit sind keine öffentlichen Exploits bekannt, die speziell auf CVE-2026-75112 abzielen. Das Fehlen kursierender Exploits verringert das unmittelbare Risiko, beseitigt aber nicht die Notwendigkeit zu handeln. Systeme, die unverschlüsselte Backups verwenden, sind einem konkreten Risiko ausgesetzt, insbesondere in industriellen Umgebungen, in denen die Netzwerksegmentierung möglicherweise nicht perfekt ist.

Für Unterstützung stellt Rockwell Automation OTTO Care (ottomotors.com/otto-care) und das PSIRT des Unternehmens unter [email protected] zur Verfügung.