Schwachstelle in Funkreichweite kann Mobilfunkdienst von Baicells Nova 430H stören

Eine schwerwiegende Schwachstelle in Baicells-Nova-430H-eNodeB-Geräten ermöglicht es einem nicht authentifizierten Gerät in Funkreichweite, den Mobilfunkdienst durch das Senden einer fehlerhaft formatierten Verbindungsnachricht zu unterbrechen.

CISA machte das Problem am 29. September 2026 in der Sicherheitsmeldung ICSA-26-272-04 öffentlich. Die als CVE-2026-96274 erfasste Schwachstelle betrifft Nova-430H-Geräte des Modells pBS3101SH mit BaiBLQ_3.0.12 oder älter.

Ein Patch ist nicht geplant. CISA teilte außerdem mit, dass Baicells Technologies nicht auf die Aufforderung zur Zusammenarbeit an Gegenmaßnahmen reagiert habe. Betreiber müssen das Risiko daher durch Netzwerkarchitektur, Überwachung und weitere Schutzmaßnahmen begrenzen.

Fehlerhafte NAS-Nachrichten können die Signalisierungsverbindung unterbrechen

CVE-2026-96274 ist eine Schwachstelle durch eine nicht abgefangene Ausnahme und wird als CWE-248 eingestuft. Sie tritt beim Verbindungsaufbau zwischen einem Funkgerät, der Baicells-eNodeB und dem Mobilfunkkernnetz auf.

Ein Angreifer in Funkreichweite kann eine fehlerhafte Uplink-Nachricht mit einer ungültigen Non-Access-Stratum-Nutzlast (NAS) senden. NAS-Nachrichten übernehmen Steuerungsfunktionen zwischen Endgeräten und dem Kernnetz. Die eNodeB überträgt diese Nachrichten über das Funkzugangsnetz.

Die Nova 430H prüft die ungültige Nutzlast nicht ausreichend, bevor sie sie an das Kernnetz weiterleitet. Bei der Verarbeitung kann die Signalisierungsverbindung der Funkzelle ausfallen.

Der Dienst bleibt beeinträchtigt, bis eNodeB und Kernnetz die Verbindung wiederhergestellt haben. Die verfügbaren Informationen beschreiben einen vorübergehenden Verfügbarkeitsausfall, keine dauerhafte Kompromittierung.

Für den Angriff sind weder eine Authentifizierung noch eine Interaktion mit einem Nutzer erforderlich; die Komplexität wird als gering eingestuft. Der Angreifer benötigt jedoch Zugang zum Funknetz in unmittelbarer Nähe. Daher stuft CISA CVE-2026-96274 als nicht aus der Ferne ausnutzbar ein. Der beschriebene Angriff lässt sich also nicht einfach von einem beliebigen Standort im Internet aus gegen das Gerät starten.

Das bedeutet nicht, dass die Schwachstelle harmlos ist. Eine Person mit geeigneter Ausrüstung in der Nähe eines betroffenen Standorts könnte den Ausfall möglicherweise auslösen, ohne zuvor ein Konto zu erhalten oder in das interne Netzwerk des Betreibers einzudringen.

BaiBLQ_3.0.12 und alle älteren Versionen sind betroffen

Betroffen ist die Baicells-Nova-430H-eNodeB, genauer das Modell pBS3101SH. Der verwundbare Softwarebereich umfasst alle Versionen von 0 bis einschließlich BaiBLQ_3.0.12.

CISA gibt den betroffenen Versionsbereich folgendermaßen an:

<= BaiBLQ_3.0.12

Nach beiden aktuellen Bewertungssystemen weist die Schwachstelle einen hohen Schweregrad auf:

• CVSS 3.1: 7,4
  CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
• CVSS 4.0: 8,3
  CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H

Beide Vektoren weisen die Verfügbarkeit als wichtigste Sicherheitsauswirkung aus. Vertraulichkeit und Integrität werden nicht beeinträchtigt. Das entspricht dem Umstand, dass kein Mechanismus zum Auslesen geschützter Informationen oder zum Ändern von Systemdaten bekannt ist.

Im CVSS-3.1-Vektor ist der Geltungsbereich als geändert markiert, weil der fehlerhafte Datenverkehr eine Sicherheitsgrenze überschreitet: Die eNodeB leitet die Nutzlast an das Kernnetz weiter, wo ihre Verarbeitung den Signalisierungsausfall verursacht. Der Eintrag im CVE-Programm bestätigt das Produkt, die betroffenen Versionen, die Schwachstellenklassifizierung, die Schweregradbewertungen und die technische Beschreibung.

Lokales Denial-of-Service-Risiko für Kommunikationsanbieter

Baicells-Nova-430H-Geräte sind weltweit im Einsatz. CISA ordnet das betroffene Produkt den kritischen Infrastrukturbereichen Kommunikation sowie Informations- und Kommunikationstechnologie zu. Der Hauptsitz von Baicells befindet sich in den Vereinigten Staaten.

Für Betreiber fällt zunächst die betroffene Funkzelle aus. Nutzer, die auf diese Zelle angewiesen sind, können eine Dienstunterbrechung erleben, bis eNodeB und Kernnetz ihre Signalisierungsverbindung wiederhergestellt haben.

Die veröffentlichte Bewertung beschreibt weder Datendiebstahl noch unbefugte Konfigurationsänderungen, Codeausführung oder dauerhaften Zugriff. Sie belegt auch nicht, dass eine einzelne fehlerhafte Übertragung andere Funkzellen oder größere Teile des Netzwerks eines Betreibers beeinträchtigen könnte.

Es sind keine öffentlichen Angriffe bekannt, die gezielt CVE-2026-96274 ausnutzen. Bisher wurden weder Kompromittierungsindikatoren noch Beispiele für schädliche Nutzlasten oder Erkennungssignaturen veröffentlicht.

CVE-2026-96274 wurde Berichten zufolge nicht in den Katalog der bekannten, ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) von CISA aufgenommen. Eine KEV-Frist zur Behebung wurde ebenfalls nicht festgelegt. Die Meldung dokumentiert somit eine ausnutzbare Schwachstelle, aber keine bestätigte aktive Angriffskampagne.

Qiqing Huang meldete die Schwachstelle an CISA.

Hersteller plant keinen Patch

CISA zufolge ist für die verwundbaren Versionen der Nova 430H keine Fehlerbehebung geplant. Die Behörde teilte außerdem mit, dass Baicells auf ihre Versuche, Gegenmaßnahmen abzustimmen, nicht reagiert habe.

Damit gibt es keine veröffentlichte gepatchte Version, auf die Betreiber aktualisieren könnten. Unternehmen, die das betroffene Modell einsetzen, sollten sich direkt an den Kundensupport von Baicells wenden, um produktspezifische Informationen, mögliche Hinweise zur Konfiguration und den aktuellen Stand der Behebung zu erhalten.

Betreiber sollten zunächst alle Nova-430H-Geräte des Modells pBS3101SH ermitteln und die installierten Softwareversionen dokumentieren. Jedes Gerät mit BaiBLQ_3.0.12 oder einer älteren Version fällt in den veröffentlichten verwundbaren Bereich.

Da die Schwachstelle über die Funkschnittstelle ausgenutzt wird, kann eine herkömmliche Filterung am Internet-Perimeter den zugrunde liegenden Angriffsweg nicht beseitigen. Netzwerksegmentierung kann weiterhin das Risiko weiterer Angriffe senken und den Zugriff auf Verwaltungs- und Steuerungskomponenten begrenzen. Sie prüft jedoch nicht die fehlerhafte NAS-Nutzlast an der verwundbaren Verarbeitungsstelle.

Unternehmen sollten außerdem Betriebsprotokolle und Alarme auf unerklärliche Unterbrechungen von Signalisierungsverbindungen, wiederholte Verbindungsversuche oder vorübergehende Ausfälle von Funkzellen prüfen. Solche Ereignisse sind kein eindeutiger Beleg für einen Angriff, da auch gewöhnliche Störungen ähnliche Symptome verursachen können. In Verbindung mit Funkaktivitäten und Telemetriedaten des Kernnetzes können sie jedoch die Untersuchung unterstützen.

Tiefenverteidigung ist derzeit der einzige Weg zur Risikominderung

CISA empfiehlt, die Netzwerkanbindung von Steuerungssystemen auf das notwendige Maß zu beschränken und sie nicht direkt aus dem Internet erreichbar zu machen. Netze für Steuerungssysteme und entfernte Geräte sollten durch Firewalls geschützt und von Unternehmensnetzen getrennt sein.

Wenn ein Fernzugriff betrieblich erforderlich ist, sollten Unternehmen sichere Verfahren wie eine regelmäßig gewartete VPN-Infrastruktur nutzen. Dabei müssen sie auch die Sicherheit der Endgeräte berücksichtigen, die über diese Fernzugriffskanäle verbunden sind: Ein VPN schützt die Umgebung nicht vor einem bereits kompromittierten Client.

Vor der Einführung neuer Filter-, Isolierungs- oder Überwachungsmaßnahmen sollten Betreiber eine Auswirkungsanalyse und Risikobewertung durchführen. Änderungen an der Mobilfunksignalisierung oder der Verbindung zum Kernnetz können bei unzureichender Prüfung selbst zu Verfügbarkeitsproblemen führen.

CISA verweist auf ihre Empfehlungen zur Tiefenverteidigung für industrielle Steuerungssysteme sowie auf das technische Dokument ICS-TIP-12-146-01B zu gezielter Angriffserkennung und Gegenmaßnahmen. Verdächtige Aktivitäten sollten nach den etablierten Verfahren zur Reaktion auf Sicherheitsvorfälle behandelt und CISA zur Auswertung und Nachverfolgung gemeldet werden.

Die Behörde wiederholt zudem ihre allgemeinen Warnungen vor unerwarteten E-Mails, Links, Anhängen, Phishing und Social Engineering. Diese Vorsichtsmaßnahmen beheben die Schwachstelle auf der Funkschnittstelle nicht direkt, sind aber weiterhin wichtig, um die Verwaltungssysteme rund um betroffene Installationen zu schützen.

Solange Baicells keine Produktkorrektur bereitstellt, gibt es für Betreiber keine direkte Softwarelösung für CVE-2026-96274. Derzeit stehen ihnen als praktische Schutzmaßnahmen die Erfassung der betroffenen Geräte, die Isolation durch geeignete Netzwerkarchitektur, belastbare Wiederherstellungsverfahren und die Überwachung auf ungewöhnliche Signalisierungsausfälle zur Verfügung.