Das auf Schwachstellen-Intelligence spezialisierte Unternehmen VulnCheck hat die Beobachtung aktiver Angriffe gemeldet, die eine kritische Sicherheitslücke in dem Low-Code-Programmierwerkzeug Node-RED ausnutzen. Die Schwachstelle mit der Kennung CVE-2026-58115 erhielt aufgrund ihrer leichten Ausnutzbarkeit und ihrer schwerwiegenden Auswirkungen eine maximale Risikobewertung (10/10).
Art und Auswirkungen der Schwachstelle
Das Problem liegt im Fehlen einer Authentifizierung an der HTTP-Schnittstelle von Node-RED, was unbefugten Angreifern die Möglichkeit gibt, auf Programmierknoten zuzugreifen und Systembefehle mit vollen Berechtigungen auszuführen. Dieses Werkzeug wird in großem Umfang in ereignisgesteuerten Anwendungen eingesetzt, einschließlich industrieller Steuerungssysteme (ICS) und operativer Technologie (OT).
Siemens hatte diese Schwachstelle am 11. August nach ihrer Entdeckung in SIMATIC IoT2050 Advanced-Geräten offengelegt und Sicherheitsupdates für die Versionen 4.3.4.1 und höher veröffentlicht, um diese Lücke zu schließen.
Details der beobachteten Angriffe
Laut Daten von VulnCheck begannen die tatsächlichen Angriffe am 30. Oktober, wobei ein Angriff von einer IP-Adresse aus dem Microsoft-Netzwerk (AS8075) beobachtet wurde. Die Angriffe umfassten eine Reihe technischer Schritte:
- Bereitstellung eines bösartigen Flows innerhalb von Node-RED.
- Automatisches Ausführen des Flows, um Binärdateien von einem vom Angreifer kontrollierten Server abzurufen.
- Verwendung mehrschichtiger Verschlüsselungstechniken, um die Software-Payload zu verbergen.
Bis zum 1. November wurden 15 zusätzliche Angriffe aus derselben Quelle beobachtet, bei denen die Angreifer verschiedene Payloads ausführten, darunter Linux-Bots und Webshells, die ihnen den dauerhaften Zugriff auf die kompromittierten Server und die Ausführung willkürlicher Befehle ermöglichten.
Was bedeutet das für die Benutzer?
Diese Angriffe bestätigen, dass Angreifer das Internet aktiv nach Node-RED-Instanzen absuchen, denen die Authentifizierungseinstellungen (adminAuth) fehlen. Zum Schutz der Systeme empfehlen Experten Folgendes:
- Überprüfung der Erreichbarkeit von Node-RED-Instanzen von außerhalb des internen Netzwerks und sofortige Einschränkung dieses Zugriffs.
- Überprüfung der veröffentlichten Flows auf ungewöhnliche Ausführungsknoten (exec nodes) oder verdächtige HTTP-Endpunkte.
- Sicherstellung, dass alle auf Node-RED basierenden Geräte, insbesondere in industriellen Umgebungen, auf die neuesten verfügbaren Versionen der Hersteller aktualisiert werden.