Schwachstellen in Siemens Reyrolle 7SR5 ermöglichen Umgehung der Authentifizierung und Abstürze aus der Ferne

CISA hat Betreiber vor 14 Schwachstellen in Siemens-Reyrolle-7SR5-Geräten mit Versionen vor V2.70 gewarnt. Die Schwachstellen betreffen die Sitzungsverwaltung, die Autorisierung, die Speichersicherheit, die Ressourcenverwaltung, die Eingabeverarbeitung und die Integrität der Firmware.

Die schwerwiegendste Schwachstelle, CVE-2026-62645, erreicht einen CVSS-v3.1-Wert von 9,8. Ein nicht authentifizierter Angreifer aus der Ferne kann dadurch gültige Sitzungskennungen ableiten, die Authentifizierung umgehen und sich unbefugten Zugriff auf ein Gerät verschaffen.

Siemens hat eine neuere Version der Reyrolle 7SR5 veröffentlicht und empfiehlt, auf die aktuell verfügbare Version zu aktualisieren. Es wurden bislang weder aktive Ausnutzung noch damit verbundene Betriebsstörungen gemeldet.

Jede Reyrolle-7SR5-Version vor V2.70 ist betroffen

Der Hinweis von CISA zu industriellen Steuerungssystemen stuft alle Siemens-Reyrolle-7SR5-Versionen vor V2.70 als verwundbar ein. Die Geräte werden im Energiesektor eingesetzt und weltweit betrieben.

Der Hinweis umfasst die folgenden 14 Kennungen:

• CVE-2024-42384
• CVE-2024-42385
• CVE-2024-42386
• CVE-2024-42391
• CVE-2024-42392
• CVE-2026-62645
• CVE-2026-62646
• CVE-2026-62647
• CVE-2026-62648
• CVE-2026-62649
• CVE-2026-62650
• CVE-2026-62652
• CVE-2026-62653
• CVE-2026-62654

CISA weist der betroffenen Produktgruppe insgesamt einen CVSS-v3-Wert von 9,8 zu. Die Einzelbewertungen reichen von 4,0, eingestuft als mittlere Schwere, bis zum kritischen Wert 9,8 für CVE-2026-62645.

Dabei ist eine wichtige Abgrenzung des Geltungsbereichs zu beachten. CISA ordnet die gesamte Gruppe den Reyrolle-7SR5-Geräten zu, während in den Datensätzen zu fünf älteren CVEs Cesanta Mongoose Web Server Version 7.14 oder Mongoose-Versionen bis einschließlich 7.14 als zugrunde liegende betroffene Komponente genannt wird.

Betreiber sollten die Schwachstelle daher auf Ebene des Siemens-Geräts bewerten und sie nicht ausschließlich als Problem eines allgemeinen Webservers behandeln.

Vorhersagbare Sitzungen eröffnen mehrere Wege zur Umgehung der Authentifizierung

Drei Schwachstellen betreffen die Erzeugung oder Offenlegung von Sitzungskennungen durch die Reyrolle-Weboberfläche.

CVE-2026-62645 ist die folgenreichste Schwachstelle. Über die Weboberfläche verfügbare Informationen können dazu verwendet werden, aktuelle und vorherige Werte der Sitzungs-ID zu berechnen. Für die Ausnutzung benötigt ein Angreifer aus der Ferne weder Zugangsdaten noch eine Benutzerinteraktion.

Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H spiegelt die potenziell hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Bei erfolgreicher Ausnutzung kann sich ein Angreifer unbefugten Zugriff auf das Gerät verschaffen.

CVE-2026-62646 mit einer Bewertung von 7,4 betrifft eine unzureichende Entropie der Sitzungskennungen. Token mit zu wenig Zufallsanteil können vorhersehbar sein oder sich innerhalb einer praktisch möglichen Anzahl von Anfragen per Brute-Force erraten lassen. Die Ausnutzung ist aus der Ferne und ohne Authentifizierung möglich, obwohl die CVSS-Bewertung eine hohe Angriffskomplexität voraussetzt.

CVE-2026-62647, ebenfalls mit 7,4 bewertet, betrifft die Erzeugung sicherheitsrelevanter Werte. Der Zufallszahlengenerator wird nicht mit einem True Random Number Generator initialisiert. Dadurch entstehen vorhersehbare Sequenzen, die möglicherweise die Identitätsübernahme eines authentifizierten Benutzers ermöglichen.

Zusammen schwächen diese Schwachstellen verschiedene Teile derselben Sicherheitsgrenze: die Offenlegung von Sitzungsdaten, die Entropie der Token und die Initialisierung der Zufallszahlenerzeugung.

Ein viertes Problem bei der Zugriffskontrolle tritt nach der Authentifizierung auf. CVE-2026-62650 ermöglicht es einem Benutzer mit einem Konto und geringen Berechtigungen, Anfragedaten zu manipulieren und rollenbasierte Beschränkungen zu umgehen. Bei erfolgreicher Ausnutzung kann dieser Benutzer seine Berechtigungen auf Administratorebene erweitern. Der CVSS-v3.1-Wert beträgt 8,8.

Fehlerhafte TLS- und HTTP-Daten können die Geräteverfügbarkeit beeinträchtigen

Mehrere Schwachstellen ermöglichen es Angreifern, Softwarekomponenten zum Absturz zu bringen oder das gesamte Gerät neu zu starten.

CVE-2024-42384 ist ein Integer Overflow beziehungsweise Wraparound im Cesanta Mongoose Web Server v7.14. Ein manipuliertes TLS-Paket kann einen Segmentation Fault auslösen. Die über das Netzwerk erreichbare Schwachstelle erfordert weder Berechtigungen noch eine Benutzerinteraktion und hat einen CVSS-Wert von 7,5.

CVE-2024-42386 mit einer Bewertung von 8,2 betrifft einen Zeiger-Offset außerhalb des zulässigen Bereichs. Unerwartete TLS-Eingaben können die Anwendung beenden; bei der Bewertung wird außerdem eine geringe Auswirkung auf die Integrität berücksichtigt.

Eine weitere Schwachstelle im Webserver, CVE-2026-62648, entsteht, weil die Länge einer URL-Komponente nicht ausreichend geprüft wird, bevor weitere Daten angehängt werden. Der daraus resultierende Out-of-bounds-Write kann es einem nicht authentifizierten Angreifer ermöglichen, das Gerät zum Absturz zu bringen und neu zu starten. Die Schwachstelle ist mit 7,5 bewertet.

CVE-2026-62649, ebenfalls mit 7,5 bewertet, betrifft eine uneingeschränkte Ressourcenbelegung bei der Verarbeitung zahlreicher gleichzeitiger HTTP-Anfragen. Ein Angreifer kann den Webserver aus der Ferne überlasten und dadurch einen Absturz und Neustart des Geräts auslösen.

Diese Szenarien unterscheiden sich betrieblich von einem vorübergehenden Ausfall einer Website für Endbenutzer. Bei Schutz- oder Steuergeräten können wiederholte Anwendungsabbrüche oder Neustarts des Geräts den Verwaltungszugriff unterbrechen und möglicherweise die Verfügbarkeit eingesetzter Funktionen beeinträchtigen. Auswirkungen auf bestimmte Installationen wurden bislang nicht dokumentiert.

Weitere Mongoose-Schwachstellen betreffen Speicher und Eingabeverarbeitung

Die übrigen dokumentierten Mongoose-Probleme weisen ein geringeres oder stärker eingeschränktes Angriffspotenzial auf. Sie müssen dennoch beachtet werden, da die Komponente in den betroffenen Reyrolle-Geräten eingebettet ist.

CVE-2024-42385 ist ein Out-of-bounds-Write, der durch eine fehlerhafte Behandlung von Trennzeichen bei der Verarbeitung von PEM-Zertifikaten verursacht wird. Die Schwachstelle ist mit 4,0 bewertet, da ihre Ausnutzung lokalen Zugriff, hohe Berechtigungen, eine hohe Komplexität und eine Benutzerinteraktion erfordert.

CVE-2024-42391 ermöglicht es, dass unerwartete TLS-Daten über einen Zeiger-Offset außerhalb des zulässigen Bereichs einen unbeabsichtigten Lesezugriff auf den Heap-Speicher auslösen. Die Schwachstelle erreicht einen Wert von 4,3 und stellt gemäß dem angegebenen Vektor, der ebenfalls eine Benutzerinteraktion voraussetzt, vor allem ein begrenztes Vertraulichkeitsrisiko dar.

CVE-2024-42392 kann eine Endlosschleife auslösen, wenn die Eingabe unerwartete Zeichen enthält. Die Bewertung von 4,0 berücksichtigt einen lokalen Angriffsweg mit hoher Komplexität, der hohe Berechtigungen und eine Benutzerinteraktion erfordert.

Zu CVE-2026-62652, CVE-2026-62653 und CVE-2026-62654 liegen weiterhin nur unvollständige Angaben vor. CISA ordnet alle drei Schwachstellen Reyrolle-7SR5-Versionen vor V2.70 zu. Die verfügbaren Informationen zu CVE-2026-62652 erwähnen Debugging-bezogene Informationen in Firmware-Binärdateien. Vollständige technische Beschreibungen, CVSS-Vektoren und Bewertungen der Auswirkungen wurden an dieser Stelle jedoch nicht veröffentlicht.

Keine KEV-Frist oder Hinweise auf Ausnutzung gemeldet

Aus den verfügbaren CISA-Materialien geht nicht hervor, dass eine dieser Schwachstellen im Katalog der Known Exploited Vulnerabilities enthalten ist. Entsprechend gibt es keine damit verbundene Frist für Abhilfemaßnahmen seitens CISA.

Es wurden weder Details zu einem Proof of Concept noch Exploit-Indikatoren, ein Hinweis auf Ransomware-Einsatz oder Belege für Angriffe auf eingesetzte Reyrolle-Geräte gemeldet. Das Fehlen solcher Belege ändert nichts an den Eigenschaften der höchstbewerteten Schwachstellen, die sich aus der Ferne und ohne Authentifizierung ausnutzen lassen. Es unterscheidet den Hinweis jedoch von einer bestätigten Warnung vor aktiver Ausnutzung.

Auch konkrete betroffene Installationen sind nicht bekannt. Das Ausmaß der Gefährdung hängt von der eingesetzten Firmware, der Netzwerkarchitektur und der Frage ab, ob die Webverwaltungsdienste aus nicht vertrauenswürdigen Systemen erreichbar sind.

Betreiber sollten aktualisieren und Verwaltungsdienste isolieren

Siemens empfiehlt, auf die aktuell verfügbare Reyrolle-7SR5-Version zu aktualisieren. Betreiber sollten zunächst ihre Geräte erfassen und jedes Gerät identifizieren, auf dem eine Version vor V2.70 ausgeführt wird.

Der genaue korrigierte Build wird nicht genannt. Es wird lediglich darauf hingewiesen, dass Versionen vor V2.70 betroffen sind. Betreiber sollten daher die passende Version und das Upgrade-Verfahren mit Siemens abstimmen, statt sich ausschließlich am Versionsgrenzwert zu orientieren.

Bis die Aktualisierungen abgeschlossen sind, sollten zu den Schutzmaßnahmen gehören:

• Den Zugriff auf Weboberfläche und Verwaltung auf vertrauenswürdige administrative Netzwerke beschränken.
• Direkte Verbindungen zum Internet oder zu anderen nicht vertrauenswürdigen Netzwerken entfernen.
• Schutz- und Steuergeräte von Unternehmenssystemen und externen Netzwerken segmentieren.
• Auf manipulierte oder ungewöhnliche TLS- und HTTP-Datenströme achten.
• Spitzen bei gleichzeitigen Anfragen, wiederholte fehlgeschlagene Authentifizierungen und ungewöhnliche Sitzungsaktivitäten erkennen.
• Unerwartete Neustarts, Konfigurationsänderungen, neue Konten und nicht autorisierte administrative Aktionen untersuchen.
• Kontoberechtigungen überprüfen und nicht erforderliche Zugänge mit geringen oder administrativen Berechtigungen entfernen.
• Gerätekonfiguration und -integrität nach einem vermuteten Missbrauch von Sitzungen, einer Rechteausweitung oder einem Denial-of-Service-Angriff überprüfen.

Das Einspielen von Patches sollte mit den für Betrieb und Sicherheit zuständigen Personen abgestimmt werden. Wartungsfenster, Konfigurationssicherungen und getestete Wiederherstellungsverfahren sind besonders wichtig, wenn ein fehlgeschlagenes Update oder ein ungeplanter Neustart den Betrieb im Energiesektor beeinträchtigen könnte.