„`html

CVE-2026-24349: Unzureichender Schutz von Schlüsselmaterial in SIMATIC WinCC

Zusammenfassung

Eine kritische Schwachstelle wurde in der SIMATIC WinCC Unified PC Runtime identifiziert, die es lokalen Angreifern ermöglicht, sensible Zertifikatsinformationen aus dem WinCC Certificate Manager zu extrahieren. Die Vulnerability betrifft multiple Versionen (V16 bis V21 vor Update 2) und wird mit einem CVSS-Score von 7.1 als hochgradig gefährlich eingestuft.

Betroffene Systeme

• SIMATIC WinCC Unified PC Runtime V16 (alle Versionen)
• SIMATIC WinCC Unified PC Runtime V17 (alle Versionen)
• SIMATIC WinCC Unified PC Runtime V18 (alle Versionen)
• SIMATIC WinCC Unified PC Runtime V19 (alle Versionen)
• SIMATIC WinCC Unified PC Runtime V20 (alle Versionen)
• SIMATIC WinCC Unified PC Runtime V21 (vor V21 Update 2)

Technische Details

Das WinCC Certificate Manager Modul implementiert unzureichende Schutzmechanismen für die Verwaltung kryptographischer Schlüsselmaterialien. Die Vulnerability ermöglicht es lokalen Angreifern mit Systembenutzerzugriff, private Schlüssel und Zertifikatsdaten aus dem speicherbasierten oder dateisystembasierten Storage zu extrahieren. Dies könnte zur unbefugten Offenlegung von sensiblen Authentifizierungsdaten führen.

Angriffsvektor: Local (keine Authentifizierung erforderlich)

Komplexität: Niedrig – der Exploit erfordert nur lokalen Zugriff auf das System

Empfohlene Massnahmen

• Aktualisierung auf SIMATIC WinCC V21 Update 2 oder höher
• Implementierung strikter Zugriffskontrollmaßnahmen auf WinCC-Systeme
• Regelmäßige Überwachung von Zertifikatsdatenzugriffen
• Separierung kritischer Runtime-Umgebungen in isolierten Netzwerksegmenten
• Überprüfung gespeicherter Zertifikate auf potenzielle Kompromittierungen

Bewertung

Schweregrad: HIGH | CVSS v3.1: 7.1

Status: Kein Patch verfügbar (nur Workarounds)

Diese Vulnerability stellt ein erhebliches Risiko für Industrieumgebungen dar und erfordert sofortige Aufmerksamkeit durch Sicherheitsteams.

„`