Eine schwerwiegende Sicherheitslücke wurde in der Moneo-IIOT Plattform von ifm electronic GmbH entdeckt, die auf verschiedenen Geräten installiert ist. Die Schwachstelle betrifft die „Forgot Password“-Funktion und ermöglicht es einem nicht authentifizierten entfernten Angreifer, privilegierten Zugang zu erlangen. Dies geschieht aufgrund eines schwachen Passwort-Wiederherstellungsmechanismus (CWE-640). In einer moneo-Appliance ohne konfigurierten Mailserver kann ein unautorisierter Angreifer das Passwort auf den Standardwert für neue Benutzer zurücksetzen. Diese Sicherheitslücke wurde unter der Kennung CVE-2024-5404 registriert und hat einen CVSS-Wert von 9.8, was sie als kritisch einstuft. Betroffen sind:
- moneo Software auf Microsoft Windows: Version 1.13
- moneo Software auf QHA210: Version 1.13
- moneo Software auf QHA300: Version 1.13
- moneo Software auf QVA200: Version 1.13
Ein erfolgreicher Angriff auf diese Schwachstelle kann zu folgenden schwerwiegenden Konsequenzen führen:
- Vertraulichkeitsverlust: Angreifer können auf sensible Informationen zugreifen.
- Integritätsverlust: Angreifer können Daten manipulieren.
- Verfügbarkeitsverlust: Angreifer können den Dienst stören oder unzugänglich machen.
Die korrekte Konfiguration eines Mailservers verhindert die Ausnutzung dieser Schwachstelle. Es wird jedoch dennoch dringend empfohlen, ein Update auf moneo Version 1.13.5 oder höher durchzuführen, um diese Sicherheitslücke zu schließen.
Die Schwachstelle wurde von CERT@VDE in Zusammenarbeit mit ifm electronic GmbH gemeldet und koordiniert. Weitere Informationen und detaillierte Anweisungen finden sich auf cert.vde.com.
Technische Details zm Angriffsvektor
- Angriffsvektor: Netzwerk
- Angriffskomplexität: Niedrig
- Erforderliche Privilegien: Keine
- Benutzerinteraktion: Keine
- Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit: Hoch
Ähnliche Beiträge:
Professionelle Hilfe erwünscht?
Sentiguard ist spezialisiert auf Notfallhilfe nach Cyberattacken, IT Sicherheitsbeauftragte und IT Sicherheitskonzepte nach BSI Standard. Haben Sie Fragen und wünschen Sie unverbindliche Beratung, dann melden Sie sich gerne bei uns: