🟠 CVE-2023-45796: High Schwachstelle

„`html

Zusammenfassung

CVE-2023-45796 beschreibt eine Stored Cross-Site-Scripting (XSS) Schwachstelle in der Runtime-Komponente von Pilz PASvisu und PMI v8xx. Die Vulnerabilität ermöglicht es einem Angreifer mit niedriger Privilegierung, bösartigen JavaScript-Code zu speichern, der bei Ausführung Prozessdaten manipuliert. Der Schweregrad wurde mit „High“ (CVSS 8.1) bewertet.

Betroffene Systeme

• Pilz PASvisu vor Version 1.14.1
• Pilz PMI v8xx bis einschließlich Version 2.0.33992

Beide Systeme sind in industriellen Automatisierungs- und Visualisierungsumgebungen weit verbreitet.

Technische Details

Die Vulnerability liegt in der unzureichenden Input-Validierung und Output-Encoding der Runtime-Komponente. Ein unauthentizierter Angreifer kann über das Netzwerk böswillige Skripte einschleusen, die persistent in der Anwendung gespeichert werden. Bei Zugriff durch andere Benutzer wird der Code im Browser-Kontext ausgeführt.

Die Schwachstelle ermöglicht:

• Session-Hijacking durch Cookie-Diebstahl
• Manipulation von Prozessdaten
• Unbefugte Kontrolle über Automatisierungsfunktionen
• Potentielle Verfügbarkeitsstörungen

Empfohlene Massnahmen

• Sofortig: Betroffene Systeme aus dem direkten Internetzugang isolieren
• Update: Pilz PASvisu auf Version 1.14.1 oder höher aktualisieren
• Patch: PMI v8xx auf Version 2.0.33993 oder neuer upgraden
• Netzwerk: WAF-Regeln implementieren zum Filtern verdächtiger Eingaben
• Monitoring: Logs auf XSS-Versuche und Datenzugriffe überwachen
• Authentifizierung: Zusätzliche Authentifizierungsmechanismen aktivieren

Bewertung

Mit einem CVSS-Score von 8.1 und der Möglichkeit der Datenverfälschung in kritischen Prozesssteuerungen stellt diese Schwachstelle ein erhebliches Risiko dar. Da kein Patch verfügbar ist, sind defensive Massnahmen essentiell. Unternehmen sollten sofort reagieren und Workarounds implementieren.

„`