Siemens schließt XSS-Lücke in der Teamcenter-Authentifizierungsweiterleitung über vier Release-Zweige hinweg

Siemens hat eine reflektierte Cross-Site-Scripting-Schwachstelle in Teamcenter behoben, über die ein Angreifer aus der Ferne eine aktive Sitzung eines authentifizierten Benutzers missbrauchen konnte.

Die als CVE-2026-58113 erfasste Schwachstelle betrifft den Authentifizierungsweiterleitungsprozess unter /auth/ in vier Teamcenter-Release-Zweigen. Ein Angreifer benötigt zwar kein Konto, für die Ausnutzung muss ein authentifizierter Benutzer jedoch eine speziell präparierte URL öffnen.

Siemens veröffentlichte seinen Sicherheitshinweis zunächst am 8. September 2026. Die CISA veröffentlichte den Siemens-ProductCERT-Sicherheitshinweis erneut am 15. September 2026, um ihn bei Betreibern industrieller Anlagen und kritischer Infrastrukturen bekannter zu machen.

Updates für vier Teamcenter-Zweige erforderlich

CVE-2026-58113 betrifft Siemens Teamcenter V2412, V2506, V2512 und V2606. Installationen mit Versionen unterhalb der folgenden Schwellenwerte bleiben anfällig:

Teamcenter-Zweig	Betroffene Versionen	Erste fehlerbereinigte Version
V2412	Alle Versionen vor V2412.0013	V2412.0013
V2506	Alle Versionen vor V2506.0010	V2506.0010
V2512	Alle Versionen vor V2512.2607	V2512.2607
V2606	Alle Versionen vor V2606.2607	V2606.2607

Administratoren sollten auf diese Releases oder eine später verfügbare Version des jeweiligen Zweigs aktualisieren. Siemens empfiehlt, die jeweils aktuellste verfügbare Version einzusetzen, statt die minimale fehlerbereinigte Version als langfristiges Ziel zu betrachten.

Teamcenter wird für das Product Lifecycle Management und damit verbundene Engineering-Abläufe eingesetzt. In betroffenen Unternehmen können authentifizierte Sitzungen je nach Berechtigungen des jeweiligen Benutzers Zugriff auf Produktdaten, Konstruktionen, Produktionsinformationen oder andere betriebliche Ressourcen ermöglichen.

Betroffene Installationen gibt es weltweit. Die CISA ordnet das Produkt den Sektoren Critical Manufacturing und Information Technology zu, während Siemens seinen Hauptsitz in Deutschland hat.

Schadcode gelangt über die /auth/-Weiterleitung in die Anwendung

Die Schwachstelle entsteht durch eine fehlerhafte Kodierung benutzergesteuerter Daten bei der Generierung von Webseiten. Sie ist als CWE-79 klassifiziert, also als unzureichende Neutralisierung von Eingaben im Zusammenhang mit Cross-Site-Scripting.

In diesem Fall erstellt ein Angreifer eine URL, die auf den /auth/-Endpunkt von Teamcenter zielt, und platziert JavaScript-Payload-Daten in einer Eingabe, die vom Authentifizierungsweiterleitungsprozess verarbeitet wird. Die Anwendung übernimmt diese Eingabe ohne eine für diesen Kontext sichere Kodierung in ein HTML-Attribut.

Lädt ein authentifizierter Benutzer die URL, interpretiert der Browser den eingeschleusten Inhalt als ausführbares Skript und nicht als inaktiven Text. Der Code wird anschließend im Sicherheitskontext der Teamcenter-Sitzung des Opfers ausgeführt.

Es handelt sich um eine reflektierte XSS-Schwachstelle: Der schädliche Wert wird mit der Anfrage übertragen und erscheint in der unmittelbaren Antwort. Der Angreifer muss die Payload zuvor nicht in Teamcenter speichern.

Der Angriff umfasst daher zwei klar getrennte Rollen. Der Angreifer kann nicht authentifiziert sein, während der anvisierte Benutzer bereits über eine gültige Teamcenter-Sitzung verfügen und den präparierten Link öffnen muss. Die Zustellung kann über jeden Kanal erfolgen, der einen Benutzer zu einer URL führt; eine konkrete Kampagne oder Zustellmethode wurde jedoch nicht gemeldet.

Erfolgreiche Ausnutzung übernimmt die Berechtigungen des Opfers

JavaScript, das im authentifizierten Teamcenter-Kontext ausgeführt wird, kann möglicherweise Informationen auslesen, auf die der anvisierte Benutzer Zugriff hat, oder über dessen Sitzung Aktionen auslösen. Die konkreten Auswirkungen hängen daher von der Berechtigungsstufe des Opfers ab.

Eine kompromittierte Sitzung eines Benutzers mit stark eingeschränkten Rechten würde weniger Ressourcen offenlegen als eine Sitzung von Engineering-Administratoren, Projektverantwortlichen oder anderem privilegiertem Personal. Unternehmen sollten daher Systeme priorisieren, die von Konten mit weitreichendem Zugriff auf sensible Produkt- und Betriebsinformationen genutzt werden.

Siemens und die CISA bewerten CVE-2026-58113 mit einem CVSS-v3.1-Basisscore von 6,1 als Mittel. Der vollständige Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Der Vektor beschreibt einen über das Netzwerk erreichbaren Angriff mit geringer Komplexität, für den der Angreifer keine Berechtigungen benötigt. Eine Benutzerinteraktion ist erforderlich. Die Bewertung mit geändertem Scope berücksichtigt, dass das eingeschleuste Skript eine Sicherheitsgrenze überschreitet und über die Browsersitzung ausgeführt wird.

Die Bewertung weist geringe Auswirkungen auf Vertraulichkeit und Integrität aus. Direkte Auswirkungen auf die Verfügbarkeit werden nicht angenommen; das dokumentierte Szenario umfasst also keine Unterbrechung des Teamcenter-Betriebs.

Eine mittlere Bewertung sollte die Bedeutung der Rolle des Opfers nicht relativieren. Aktionen auf Sitzungsebene können erhebliche Folgen haben, wenn das anvisierte Konto Zugriff auf wertvolle Engineering- oder Fertigungsressourcen besitzt.

Keine bestätigte Ausnutzung und keine KEV-Frist gemeldet

Es liegen keine Meldungen über betroffene Unternehmen, bestätigte Ausnutzungsversuche oder bekannte Schadkampagnen im Zusammenhang mit CVE-2026-58113 vor. Konkrete Indicators of Compromise wurden nicht veröffentlicht.

Auch die verfügbaren NVD-Informationen führen die Schwachstelle nicht als Bestandteil des Katalogs der Known Exploited Vulnerabilities der CISA. Daher gibt es weder ein verfügbares Datum für die Aufnahme in die KEV-Liste noch eine Frist für die Behebung durch Bundesbehörden; beides sollte nicht angenommen werden.

Das Fehlen eines KEV-Eintrags bedeutet, dass hier keine veröffentlichten Hinweise darauf vorliegen, dass Angreifer die Schwachstelle aktiv ausnutzen. Die Gefährdung durch über das Internet erreichbare Teamcenter-Installationen oder durch Benutzer, die zum Öffnen externer Links bewegt werden können, bleibt davon unberührt.

Enzo Alvarez von Bishop Fox meldete die Schwachstelle an Siemens. Der Hersteller dokumentiert seine Reaktion im Siemens-ProductCERT-Sicherheitshinweis SSA-157465.

Patches sind die wichtigste Schutzmaßnahme

Administratoren sollten zunächst alle Teamcenter-Server erfassen, ihre Release-Zweige identifizieren und die installierten Builds mit den Schwellenwerten für fehlerbereinigte Versionen vergleichen. Jede anfällige Instanz sollte mindestens auf das jeweils relevante korrigierte Release aktualisiert werden.

Installationen mit Internetzugang müssen unverzüglich berücksichtigt werden. Teams sollten außerdem Deployments priorisieren, die von privilegierten Konten genutzt werden oder Zugriff auf sensible Konstruktions-, Produktions- und Product-Lifecycle-Daten ermöglichen.

Bis die Updates abgeschlossen sind, können Unternehmen das Risiko durch mehrere Maßnahmen reduzieren – jedoch nicht vollständig beseitigen:

• Den direkten Internetzugriff auf Teamcenter und zugehörige Komponenten von Steuerungssystemen einschränken.
• Betroffene Systeme hinter Firewalls platzieren und Zugriffskontrollen durchsetzen, die ihrer betrieblichen Rolle entsprechen.
• Fertigungs- oder Steuerungsumgebungen von allgemeinen Unternehmensnetzwerken trennen.
• Bei notwendigem Fernzugriff eine abgesicherte und vollständig aktualisierte VPN-Infrastruktur einsetzen.
• Das Browsen mit privilegierten Konten einschränken und authentifizierte Benutzer davor warnen, unerwartete Teamcenter-Authentifizierungslinks zu öffnen.
• Anfragen an den /auth/-Prozess auf ungewöhnliche Parameter, kodierte Skriptinhalte oder verdächtige externe Referrer-Muster überwachen.
• Auffällige Aktionen authentifizierter Konten untersuchen, insbesondere nach ungewöhnlichen Weiterleitungsanfragen.
• Browser- und Websicherheitskontrollen einsetzen, die die Skriptausführung begrenzen können, sofern dies mit dem Teamcenter-Betrieb vereinbar ist.

Es wurde kein spezifischer Workaround veröffentlicht, der die fehlerhafte Verarbeitung der Eingaben vollständig neutralisiert. Netzwerksegmentierung, Überwachung und die Sensibilisierung der Benutzer sind kompensierende Maßnahmen, ersetzen das Siemens-Update jedoch nicht.

Verteidiger sollten Änderungen gegen betriebliche Risiken prüfen

Fertigungs- und Engineering-Umgebungen erfordern häufig kontrollierte Wartungsfenster, da Änderungen an Anwendungen verbundene Abläufe und abhängige Systeme beeinträchtigen können. Siemens empfiehlt, vor der Umsetzung von Schutzmaßnahmen eine Auswirkungsanalyse und eine Risikobewertung durchzuführen.

Unternehmen sollten das korrigierte Teamcenter-Release vor einer breiten Einführung anhand der Authentifizierungs-, Engineering- und Product-Lifecycle-Abläufe testen, wenn betriebliche Einschränkungen stufenweise Updates erforderlich machen. Dieser Prozess darf jedoch nicht zu einer unbefristeten Verzögerung führen, insbesondere bei von außen erreichbaren Systemen.

Nach dem Patchen sollten Verteidiger bestätigen, dass in Clustern oder verteilten Deployments jeder Knoten aktualisiert wurde. Außerdem sollten sie prüfen, dass ältere Instanzen, Testserver und vergessene, von außen erreichbare Umgebungen nicht weiterhin anfällige Builds ausführen.

Sicherheitsteams, die verdächtige Aktivitäten untersuchen, sollten relevante Web-, Authentifizierungs-, Proxy- und Sitzungsprotokolle sichern. Da keine schwachstellenspezifischen Indicators of Compromise veröffentlicht wurden, muss sich die Erkennung auf ungewöhnliche /auth/-Anfragen und unerwartete Aktionen über authentifizierte Sitzungen konzentrieren. Verdächtige Aktivitäten können über die etablierten Verfahren des jeweiligen Unternehmens und gegebenenfalls an die CISA gemeldet werden.