Angreifer können CODESYS-Anwendungen durch Kettenreaktionen von Schwachstellen kompromittieren

Der CODESYS Control Runtime verwaltet die Echtzeit-Ein-/Ausgangsverarbeitung und die Netzwerkkommunikation für automatisierte Systeme. CODESYS Control für Raspberry Pi (Quelle: nozominetworks) Die neu entdeckten Schwachstellen betreffen die Art und Weise, wie der Laufzeitbetrieb mit Dateiberechtigungen und Wiederherstellungen.

CVE-2025-41658 (5.5, Medium): Falsche Standardberechtigungen erlauben es lokalen Benutzern, CODESYS-Passwort-Hashes auszulesen. CVE-2025-41659 (8.3, High): Unsachgemäße Berechtigungen erlauben es Benutzern mit geringen Privilegien, auf sensible kryptografische Daten zuzugreifen.

CVE-2025-41660 (8.8, High): Ein fehlerhafter Ressourcenübertrag erlaubt die Wiederherstellung einer manipulierten Boot-Anwendung. Der Angriffsketten-Workflow CODESYS-Angriffsszenario (Quelle: nozominetworks) Um diesen Angriff durchzuführen, benötigt ein Bedrohungsakteur zunächst gültige Service-Level-Anmeldeinformationen.

Standard-Sicherheitskontrollen verhindern dies normalerweise, aber Angreifer

Standard-Sicherheitskontrollen verhindern dies normalerweise, aber Angreifer können Anmeldeinformationen über Standardpasswörter, einen kompromittierten Engineering-Workstation oder durch Ausnutzung 2025-41658 zum Extrahieren.

Herunterladen der Anwendung: Der Angreifer nutzt die Backup-Funktionalität der Plattform, um die aktive Boot-Anwendung.

Stehlen kryptografischer Schlüssel: Durch Ausnutzung 2025-41659 extrahiert der Angreifer das notwendige kryptografische Material, um optionale Code-Verschlüsselungs- und Signierungsschutzmaßnahmen zu umgehen.

Sicherheitslage und Risiko

Manipulieren und Wiederherstellen: Der Angreifer injiziert bösartigen Maschinencode in das Binärprogramm, signiert es bei Bedarf neu und nutzt CVE-2025-41660 aus, um die hinterhältige Anwendung wieder auf das Gerät hochzuladen.

Erreichen der Root-Ausführung: Der Angreifer wartet darauf, dass ein Bediener die Anwendung neu startet oder das System neu startet.

Privilegien erhöhen: Mit Root-Zugriff modifiziert der Angreifer die lokale Benutzerdatenbank, um sich volle Administratorrechte zu verschaffen.

Ein kompromittierter Soft PLC ermöglicht es

Ein kompromittierter Soft PLC ermöglicht es Angreifern, das Verhalten ändern, Sicherheitssetpunkte zu ändern und kritische Systemverriegelungen zu umgehen.

Erkennung eines anfälligen Geräts in Nozomi Vantage (Quelle: nozominetworks) Dieser Angriff entspricht mehreren MITRE ATT&CK for ICS Techniken, darunter Manipulation (T0831), Modul-Firmware-Modifikation (T0839) und Diebstahl operativer Informationen (T0882).

Die CODESYS Group hat diese Probleme in CODESYS Control Runtime Version 4.21.0.0 und Toolkit Version 3.5.22.0 vollständig behoben. Laut Nozomi Networks hat CODESYS zur Verhinderung weiterer Manipulation die Code-Signierung für sämtlichen PLC-Code standardmäßig zwingend vorgeschrieben, bevor dieser bereitgestellt oder ausgeführt werden kann.

Moegliche Anwendungen

Administratoren sollten diese Updates umgehend anwenden, eine strikte Netzwerksegmentierung durchsetzen und den Verkehr in industriellen Netzwerken kontinuierlich auf verdächtige Aktivitäten überwachen. Sie uns auf

Kontaktieren Sie uns, um Ihre Geschichten zu präsentieren. Der Beitrag Attackers Can Backdoor CODESYS Applications auf