Vier Schwachstellen in AVEVA Pipeline Integrity Monitor legen Projektdaten und Benutzersitzungen offen

Die US-Behörde Cybersecurity and Infrastructure Security Agency hat am 10. September 2026 eine Sicherheitswarnung zu industriellen Steuerungssystemen veröffentlicht, die sich mit vier Schwachstellen in AVEVA Pipeline Integrity Monitor befasst.

Die Schwachstellen betreffen alle Versionen bis einschließlich 2025_SP1_P1_build_7.1.9580.8513. Ursache sind fest codierte Verschlüsselungsmaterialien, eine schwache Passwort-Hashing-Methode, fehlende Autorisierungsprüfungen sowie Cross-Site-Scripting in der Komponente PIMBoards.

Zwei Schwachstellen haben einen CVSS-v3.1-Wert von 8,4 und können vertrauliche Projektinformationen offenlegen oder Angreifern dabei helfen, Zugangsdaten wiederherzustellen. Die beiden anderen ermöglichen das unbefugte Auslesen von Daten beziehungsweise die Ausführung von JavaScript im Browser.

AVEVA empfiehlt, das AVEVA Pipeline Integrity Monitor 2025 SP1 P2 Security Update zu installieren, ältere Projekte zu migrieren und alle PIMBoards-Benutzer zum Ändern ihrer Passwörter aufzufordern.

Betroffene Installationen weltweit in der kritischen Fertigungsindustrie im Einsatz

Betroffen ist AVEVA Pipeline Integrity Monitor, und zwar alle Versionen bis einschließlich:

2025_SP1_P1_build_7.1.9580.8513

Für alle vier Schwachstellen gilt derselbe Versionsbereich. Für einzelne CVEs wurde kein engerer Bereich veröffentlicht.

Installationen von Pipeline Integrity Monitor sind der kritischen Fertigungsindustrie zuzuordnen und weltweit im Einsatz. Dieser betriebliche Kontext erhöht den Aufwand für die Behebung: Sicherheitsteams müssen Updates möglicherweise mit Anforderungen an Engineering, Verfügbarkeit, Backup und Wiederherstellung koordinieren, statt die Software wie eine gewöhnliche Büroanwendung zu behandeln.

Die Schwachstellen betreffen vor allem PIMBoards-Projektdateien und PIMBoards-Browsersitzungen. Die Angriffswege unterscheiden sich jedoch deutlich. Bei zwei Schwachstellen muss sich ein Angreifer zunächst lokalen Lesezugriff auf Projektdateien verschaffen, während eine weitere Schwachstelle ohne Authentifizierung aus der Ferne erreichbar ist. Die Cross-Site-Scripting-Schwachstelle wird ebenfalls aus der Ferne ausgelöst, setzt jedoch voraus, dass ein Benutzer einen manipulierten Link öffnet.

Die Sicherheitswarnung zu industriellen Steuerungssystemen von CISA ist eine erste Weiterveröffentlichung des Sicherheitsbulletins AVEVA-2026-006.

Fest codierte Verschlüsselung und schwaches Hashing bergen die größten Risiken

CVE-2026-81821 betrifft einen fest codierten kryptografischen Schlüssel und ist als CWE-321 klassifiziert. Ein Angreifer mit Lesezugriff auf eine PIMBoards-Projektdatei könnte das eingebettete oder vorhersehbare Schlüsselmaterial verwenden, um vertrauliche Informationen in dieser Datei zu entschlüsseln.

Die Schwachstelle wird nicht als direkter Angriff aus der Ferne beschrieben. Der Angreifer benötigt zunächst lokalen Zugriff sowie ausreichende Berechtigungen auf niedriger Ebene, um die betroffenen Projektdaten zu lesen. Sobald diese Voraussetzung erfüllt ist, bietet die Verschlüsselung jedoch keine wirksame Schutzgrenze mehr.

Die Schwachstelle hat einen CVSS-v3.1-Wert von 8,4:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Der Vektor weist auf eine geringe Angriffskomplexität, geringe erforderliche Berechtigungen und keine notwendige Benutzerinteraktion hin. Er beschreibt weitreichende Auswirkungen auf Vertraulichkeit und Integrität, jedoch keine direkten Auswirkungen auf die Verfügbarkeit. CISA bewertet die Schwachstelle nach CVSS v4 mit 8,3.

CVE-2026-81822 betrifft das Hashing anwendungsinterner PIMBoards-Passwörter. Die Software verwendet einen kryptografischen Algorithmus, der als gebrochen oder riskant gilt. Die Schwachstelle fällt daher unter CWE-327.

Mit Lesezugriff auf eine Projektdatei könnte ein Angreifer Passwort-Hashes extrahieren und rechenintensive Brute-Force-Angriffe durchführen. Eine erfolgreiche Wiederherstellung der Passwörter könnte Benutzerkonten offenlegen und möglicherweise PIMBoards-Administratorrechte verschaffen.

Der CVSS-v3.1-Wert beträgt ebenfalls 8,4. Zum Einsatz kommt derselbe Vektor wie bei CVE-2026-81821:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

CISA bewertet die Schwachstelle nach CVSS v4 mit 8,3. Beide Probleme werden in den beiden Bewertungssystemen als schwerwiegend eingestuft.

Diese Schwachstellen machen kopierte Projektdateien besonders sensibel. Backups, temporäre Exporte, Migrationsartefakte, Kopien auf Engineering-Workstations und andere aufbewahrte Dateien können die anfälligen Verschlüsselungs- und Passwort-Hashing-Formate auch dann weiter enthalten, wenn die Produktionsinstallation bereits aktualisiert wurde.

Fehlende Autorisierung ermöglicht unauthentifiziertes Auslesen

CVE-2026-81823 ist eine Schwachstelle aufgrund fehlender Autorisierung und als CWE-862 klassifiziert. Ein unauthentifizierter Angreifer kann Leseanfragen senden, die eigentlich auf authentifizierte PIMBoards-Benutzer beschränkt sein sollten.

Im Gegensatz zu den beiden kryptografischen Schwachstellen ist diese Schwachstelle über das Netzwerk erreichbar. Sie erfordert weder Berechtigungen noch eine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf.

Als Auswirkung wird die Offenlegung von Informationen angegeben. Schreibvorgänge sind nicht betroffen. Daher wird die Schwachstelle nicht als Möglichkeit zur unauthentifizierten Änderung von PIMBoards-Daten beschrieben.

Der CVSS-v3.1-Wert beträgt 5,3:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Die Bewertung weist auf geringe Auswirkungen auf die Vertraulichkeit und keine Auswirkungen auf Integrität oder Verfügbarkeit hin. CISA vergibt nach CVSS v4 einen Wert von 6,9. Beide Systeme stufen die Schwachstelle als mittelschwer ein.

Obwohl der Wert niedriger ist als bei den Schwachstellen in den Projektdateien, hat CVE-2026-81823 weniger Zugriffsvoraussetzungen. Verantwortliche sollten daher prüfen, ob anfällige PIMBoards-Schnittstellen aus nicht vertrauenswürdigen Netzwerken, angrenzenden Geschäftsumgebungen oder Infrastrukturen für den Fernzugriff erreichbar sind.

Manipulierte Links können JavaScript in PIMBoards-Sitzungen ausführen

CVE-2026-81824 ist eine als CWE-79 klassifizierte Cross-Site-Scripting-Schwachstelle. Ein Angreifer kann einen Link erstellen, der dazu führt, dass beliebiges JavaScript in der Browsersitzung eines PIMBoards-Benutzers ausgeführt wird.

Die Ausnutzung setzt Social Engineering voraus. Der anvisierte Benutzer muss dazu gebracht werden, den manipulierten Link zu öffnen. Phishing-Nachrichten und andere unerwünschte Mitteilungen kommen daher als plausible Übertragungswege infrage.

Die Schwachstelle hat einen CVSS-v3.1-Wert von 4,7:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N

Die Bewertung nach v3.1 weist auf geringe Auswirkungen auf die Vertraulichkeit, keine direkten Auswirkungen auf Integrität oder Verfügbarkeit und einen veränderten Sicherheitsbereich hin. CISA vergibt nach CVSS v4 einen Wert von 6,3 und beschreibt geringe Auswirkungen auf die Vertraulichkeit sowie weitreichende nachgelagerte Auswirkungen auf Integrität und Verfügbarkeit von Systemen.

Diese Bewertungen sollten nicht zu einer einzigen Interpretation zusammengefasst werden. Die beiden Bewertungssysteme modellieren die Auswirkungen auf den Browser und nachgelagerte Systeme unterschiedlich, stufen die Schwachstelle jedoch beide als mittelschwer ein.

Das Sicherheitsupdate erfordert eine einmalige Migration der Projekte

Die von AVEVA bereitgestellte korrigierte Version ist das AVEVA Pipeline Integrity Monitor 2025 SP1 P2 Security Update. Unternehmen sollten das Update installieren und ältere PIMBoards-Projektdateien migrieren.

Die Migration erfordert Vorbereitung, da sie nur in eine Richtung möglich ist. In das neue Format konvertierte Projekte können nicht einfach wieder in ihr altes Format zurückgeführt werden. AVEVA begründet diese Einschränkung mit überarbeiteten Methoden zum Hashing von Passwörtern und Verschlüsselungsschlüsseln, die von den Endbenutzern verwaltet werden.

Vor der Migration sollten Betreiber die Backups und Wiederherstellungsverfahren überprüfen, Abhängigkeiten dokumentieren und das Update anhand der betrieblichen Abläufe testen. Ein Rollback-Plan darf nicht darauf beruhen, ein aktualisiertes Projekt wieder in sein anfälliges Legacy-Format zu konvertieren.

Legacy-Dateien, die nicht migriert werden können, müssen gesondert behandelt werden. Dazu gehören alte Backups und temporäre Kopien auf Workstations, in gemeinsam genutzten Speichern, auf Wechseldatenträgern oder in Backup-Systemen. Unternehmen sollten den Lesezugriff auf diese Dateien beschränken und prüfen, ob die darin gespeicherten Passwortinformationen möglicherweise bereits offengelegt wurden.

Alle PIMBoards-Benutzer sollten ihre Passwörter ändern. Das Zurücksetzen von Passwörtern ist besonders wichtig, wenn betroffene Projektdateien für mehr Benutzer oder Systeme zugänglich waren als erforderlich. Jedes wiederhergestellte Passwort, das bei anderen Diensten erneut verwendet wurde, würde ein zusätzliches Risiko außerhalb von PIMBoards schaffen. Konkrete Vorfälle im Zusammenhang mit der Wiederverwendung von Zugangsdaten wurden jedoch nicht gemeldet.

Verantwortliche sollten die Angriffsfläche begrenzen und Dateizugriffe untersuchen

Geräte von Steuerungssystemen und unterstützende Dienste sollten nicht direkt dem Internet ausgesetzt werden. Umgebungen mit Pipeline Integrity Monitor sollten hinter Firewalls betrieben werden. Eine Segmentierung sollte dabei die Betriebsnetze von allgemeinen Geschäftssystemen trennen.

Wenn eine Fernverwaltung erforderlich ist, sollten Unternehmen gepflegte Mechanismen für den Fernzugriff einsetzen und die daran beteiligten Endpunkte absichern. Ein VPN ersetzt kein ungepatchtes PIM-System durch eine sichere Installation; auch die VPN-Software selbst muss aktuell gehalten werden.

Sicherheitsteams sollten Zugriffsprotokolle für PIMBoards-Projektdateien prüfen, einschließlich Backup-Repositories und gemeinsam genutzter Engineering-Speicherorte. Relevante Warnsignale sind unerwartete Dateilesevorgänge, ungewöhnliche Kopier- oder Archivierungsaktivitäten, Zugriffe durch Konten mit geringen Berechtigungen und nicht erklärte administrative Anmeldungen nach dem Zugriff auf Legacy-Projektdaten.

Außerdem sollten Web- und Anwendungsprotokolle auf unauthentifizierte Leseanfragen und verdächtige Links untersucht werden, die sich an PIMBoards-Benutzer richten. Allgemeingültige Indicators of Compromise wurden nicht veröffentlicht.

AVEVA meldete CVE-2026-81821 und CVE-2026-81822 an CISA. Der Forscher Adham Khairy Ramadan, auch bekannt als 0xadham, meldete CVE-2026-81823 und CVE-2026-81824 über HackerOne an AVEVA.

Zum Zeitpunkt der Veröffentlichung der Sicherheitswarnung lagen CISA keine Meldungen über eine bekannte öffentliche Ausnutzung dieser Schwachstellen vor. Für keine der vier Schwachstellen gibt es einen veröffentlichten Eintrag im Katalog der bekannten ausgenutzten Schwachstellen von CISA oder eine damit verbundene Frist zur Behebung. Bei einem Verdacht auf Ausnutzung sollten die etablierten Verfahren zur Reaktion auf Sicherheitsvorfälle angewendet und CISA informiert werden.