CVE-2021-22681
Rockwell Multiple Products Insufficient Protected Credentials Vulnerability
Beschreibung
CVE-2021-22681 ist eine KRITISCHE Schwachstelle (CVSS 9.8) vom Typ Insufficiently Protected Credentials (CWE-522) in Produkten von Rockwell Automation. Studio 5000 Logix Designer ab Version V21 sowie RSLogix 5000 Versionen V16 bis V20 verwenden einen kryptographischen Schlussel zur Verifizierung der Kommunikation mit Logix-Controllern. Ein nicht authentifizierter Remote-Angreifer, der diesen Schlussel erlangt, kann den Verifizierungsmechanismus umgehen und sich bei mehreren Rockwell-Automation-Controller-Produktfamilien authentifizieren, darunter CompactLogix, ControlLogix, DriveLogix, GuardLogix und SoftLogix. Mit einem CVSS-3.1-Vektor von AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ist die Schwachstelle ohne Authentifizierung oder Benutzerinteraktion uber das Netzwerk ausnutzbar. CISA hat CVE-2021-22681 am 5. Marz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Marz 2026. Der EPSS-Score von 0,180 (18,0. Perzentil) deutet auf eine bedeutsame Ausnutzungswahrscheinlichkeit hin, besonders besorgniserregend angesichts der kritischen Rolle von SPS in industriellen Steuerungssystemen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| rockwellautomation | factorytalk services platform | >= 2.10 |
| rockwellautomation | rslogix 5000 | >= 16, <= 20 |
| rockwellautomation | studio 5000 logix designer | >= 21.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://us-cert.cisa.gov/ics/advisories/icsa-21-056-03(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22681(US Government Resource)
Schwachstellentyp
CWE-522: Insufficiently Protected Credentials
Insufficiently Protected Credentials (CWE-522) ist eine Schwachstellenklasse, bei der ein System Authentifizierungsdaten mit Methoden ubertragt oder speichert, die keinen ausreichenden Schutz gegen unbefugten Zugriff bieten. Diese Schwache kann sich als Klartext-Speicherung von Anmeldedaten, unverschlusselte Ubertragung, Einbettung in Quellcode oder unzureichende kryptographische Schutzmechanismen manifestieren.
Bei CVE-2021-22681 verwenden die Rockwell-Automation-Entwicklungsumgebungen Studio 5000 Logix Designer und RSLogix 5000 einen gemeinsamen kryptographischen Schlussel zur Identitatsverifizierung von Logix-Controllern wahrend Kommunikationssitzungen. Dieser Schlussel ist nicht ausreichend geschutzt und kann von einem Angreifer extrahiert werden, der Zugang zur Engineering-Workstation-Software oder zum Netzwerkverkehr erlangt. Mit dem Schlussel kann der Angreifer eine legitime Engineering-Workstation vortauschen und authentifizierte Sitzungen mit allen betroffenen Controller-Familien (CompactLogix, ControlLogix, DriveLogix, GuardLogix, SoftLogix) aufbauen. Dies gewahrt dem Angreifer die Moglichkeit, Controller-Logik zu lesen und zu andern, Betriebsparameter zu manipulieren und industrielle Prozesse zu storen.
Auswirkungsanalyse
CVE-2021-22681 hat einen CVSS-3.1-Basiswert von 9,8 (KRITISCH), was das Potenzial fur eine vollstandige Kompromittierung betroffener industrieller Steuerungssysteme widerspiegelt.
Vertraulichkeit (Hoch): Ein Angreifer, der den Verifizierungsschlussel erlangt, erhalt Lesezugriff auf die programmierte Logik des Controllers, Konfigurationsparameter, Betriebsdaten und Prozessvariablen. In industriellen Umgebungen konnen diese Informationen proprietare Herstellungsprozesse, Sicherheitssystemkonfigurationen und betriebliche Details offenlegen.
Integritat (Hoch): Der gefahrlichste Aspekt dieser Schwachstelle ist die Moglichkeit, Controller-Logik und Betriebsparameter zu andern. Ein Angreifer mit Schreibzugriff auf eine SPS kann Prozesssteuerungssequenzen andern, Sicherheitsschwellenwerte manipulieren, Alarmkonfigurationen modifizieren oder bosartige Logik injizieren. Bei sicherheitskritischen Anwendungen wie chemischer Verarbeitung, Stromerzeugung oder Fertigung konnen unautorisierte Anderungen an der Controller-Logik gefahrliche physische Zustande erzeugen.
Verfugbarkeit (Hoch): Ein Angreifer kann den Controller-Betrieb storen, indem er den Prozessor stoppt, den Programmspeicher loscht oder den Controller in einen Fehlerzustand versetzt. Da Logix-Controller typischerweise Echtzeit-Industrieprozesse steuern, kann jede Storung der Controller-Verfugbarkeit sofortige Produktionsausfalle, Gerateschaden oder Sicherheitsvorfalle verursachen.
Scope (Unverandert): Obwohl die direkte Auswirkung der Schwachstelle auf die Controller-Systeme beschrankt ist, erstrecken sich die Konsequenzen auf die physischen Prozesse, die sie steuern.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2021-22681 wird nachweislich aktiv ausgenutzt. CISA hat die Schwachstelle am 5. Marz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Marz 2026. Die Schwachstelle wurde als Ziel fur nationalstaatliche und Advanced-Persistent-Threat-Gruppen mit Interesse an der Kompromittierung industrieller Steuerungssysteme identifiziert.
Ransomware-Zusammenhang: Obwohl CVE-2021-22681 primar mit ICS-gezielten Angriffen assoziiert wird, bietet die Moglichkeit, industrielle Prozesse zu stoppen, erhebliches Erpressungspotenzial. Bedrohungsakteure, die OT-Umgebungen angreifen, haben ahnliche Controller-Zugangs-Schwachstellen genutzt, um Losegeld fur die Wiederherstellung des Normalbetriebs zu fordern.
Offentliche Exploits: Technische Details zum Schlusselextraktionsprozess und zur Authentifizierungsumgehung wurden in ICS-Sicherheitsforschungspublikationen und Konferenzprasentationen diskutiert. Das fur die Ausnutzung erforderliche Wissen ist fur fortgeschrittene Bedrohungsakteure zuganglich.
EPSS-Kontext: Der EPSS-Score von 0,180 (18,0. Perzentil) deutet auf eine uberdurchschnittliche Ausnutzungswahrscheinlichkeit hin. Im ICS-Bereich, wo die potenziellen physischen Folgen einer Ausnutzung das Gesamtrisiko verstarken, ist dieser Score besonders bedeutsam.
KEV-Frist: Die CISA-Behebungsfrist ist der 26. Marz 2026. Organisationen, die betroffene Rockwell-Automation-Controller in Produktionsumgebungen einsetzen, mussen die vom Hersteller empfohlenen Massnahmen priorisieren.
Behebung
-
Sicherheitspatches und Firmware-Updates von Rockwell Automation einspielen. Folgen Sie den Sicherheitshinweisen von Rockwell Automation, um Studio 5000 Logix Designer, RSLogix 5000 und alle betroffenen Controller-Firmware auf Versionen zu aktualisieren, die die Authentifizierungsumgehung beheben.
-
CIP Security auf unterstutzten Controllern implementieren. Fur Controller-Hardware, die dies unterstutzt, aktivieren Sie CIP Security (EtherNet/IP mit TLS), das zertifikatsbasierte Authentifizierung bietet, die nicht fur den Schlusselextraktions-Angriff anfallig ist. Dies ist die effektivste langfristige Massnahme.
-
Netzwerkzugriff auf Controller einschranken. Implementieren Sie Netzwerksegmentierung, um SPS vom Unternehmensnetzwerk und dem Internet zu isolieren. Verwenden Sie industrielle Firewalls und demilitarisierte Zonen (DMZ), um strikt zu kontrollieren, welche Systeme mit Controllern uber CIP-Ports kommunizieren konnen.
-
Application-Whitelisting auf Engineering-Workstations einsetzen. Verhindern Sie die Ausfuhrung nicht autorisierter Software auf Workstations, auf denen Studio 5000 oder RSLogix 5000 installiert ist. Dies reduziert das Risiko der Schlusselextraktion durch Malware.
-
Controller-Kommunikation auf Anomalien uberwachen. Setzen Sie industrielle Intrusion-Detection-Systeme (IDS) ein, die CIP-Verkehr auf unautorisierte Verbindungsversuche, Logikanderungen oder Firmware-Anderungen inspizieren konnen.
-
Controller-Anderungsmanagement-Programm einfuhren. Etablieren Sie Prozesse zur regelmassigen Verifizierung der Controller-Logik-Integritat durch Vergleich laufender Programme mit bekannten Referenzzustanden.
Technische Details
CVE-2021-22681 ist eine Schwachstelle im Bereich Credential Protection im Authentifizierungsmechanismus zwischen der Rockwell-Automation-Engineering-Software (Studio 5000 Logix Designer V21+ und RSLogix 5000 V16-V20) und Logix-Controller-Familien. Die Engineering-Software verwendet einen gemeinsamen kryptographischen Schlussel, um einen Verifizierungs-Handshake mit Controllern wahrend Programmier- und Uberwachungssitzungen durchzufuhren.
Die grundlegende Schwache besteht darin, dass dieser Verifizierungsschlussel innerhalb der Engineering-Software nicht ausreichend geschutzt ist. Ein Angreifer, der Zugang zur Engineering-Workstation (physisch oder remote) erlangt oder den Netzwerkverkehr zwischen Workstation und Controller mitschneidet, kann das Schlusselmaterial extrahieren. Mit diesem Schlussel kann der Angreifer gultige Authentifizierungsnachrichten konstruieren, die der Controller akzeptiert.
Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Ausnutzung nach Erlangung des Schlussels unkompliziert ist und uber das Netzwerk ohne zusatzliche Privilegien oder Benutzerinteraktion durchgefuhrt werden kann. Die betroffenen Controller-Familien umfassen CompactLogix (Kompaktformat fur Maschinensteuerung), ControlLogix (Hochleistungs-Prozesssteuerung), DriveLogix (integrierte Antriebssteuerungen), GuardLogix (sicherheitszertifizierte Controller) und SoftLogix (PC-basierte Soft-Controller).
Die Schwachstelle ist besonders besorgniserregend, da derselbe Schlusselmechanismus uber alle Controller-Familien hinweg verwendet wird. Eine einzelne Schlusselextraktion gibt einem Angreifer Zugang zu einer breiten Palette industrieller Steuerungssysteme. Das Design mit gemeinsamem Schlussel stellt eine systemische architektonische Schwache dar, weshalb die Behebung die Migration zu zertifikatsbasierter Authentifizierung (CIP Security) erfordert.
Häufig gestellte Fragen
Was ist CVE-2021-22681?
CVE-2021-22681 ist eine kritische Schwachstelle in Rockwell Automations Studio 5000 Logix Designer und RSLogix 5000 Engineering-Software. Diese Tools verwenden einen kryptographischen Schlussel zur Verifizierung der Kommunikation mit Logix-SPS. Der Schlussel ist unzureichend geschutzt, sodass ein Angreifer ihn extrahieren und zur Umgehung der Authentifizierung nutzen kann, um vollen Zugriff auf CompactLogix, ControlLogix, DriveLogix, GuardLogix und SoftLogix Controller zu erlangen.
Welche Rockwell-Automation-Produkte sind betroffen?
Die Schwachstelle betrifft Studio 5000 Logix Designer ab Version V21, RSLogix 5000 Versionen V16 bis V20 und die damit programmierten Controller-Familien: CompactLogix 1768, 1769, 5370, 5380 und 5480 Serien; ControlLogix 5560, 5570 und 5580 Serien; DriveLogix 5560 und 5730 Serien; GuardLogix 5560, 5570, 5380 und 5580 Serien; sowie SoftLogix 5800 Serie.
Wie behebe ich CVE-2021-22681?
Spielen Sie die neuesten Firmware-Updates von Rockwell Automation fur alle betroffenen Controller und Engineering-Software ein. Fur den robustesten Schutz aktivieren Sie CIP Security auf Controllern, die dies unterstutzen, was die verwundbare schlusselbasierte Authentifizierung durch zertifikatsbasierte Authentifizierung ersetzt. Schranken Sie zusatzlich den Netzwerkzugriff auf Controller ein und implementieren Sie Controller-Anderungsmanagement-Prozesse.
Warum ist CVE-2021-22681 kritisch fur industrielle Umgebungen?
Diese Schwachstelle ermoglicht einem Angreifer vollen Programmierzugriff auf industrielle Controller, die physische Prozesse steuern. Ein Angreifer mit diesem Zugriff kann Sicherheitslogik andern, Prozessparameter manipulieren, die Produktion stoppen oder gefahrliche Betriebszustande schaffen. Das Design mit gemeinsamem Schlussel bedeutet, dass eine einzelne Kompromittierung alle Controller-Familien betrifft. In Sektoren wie Energie, Fertigung und Wasseraufbereitung konnen die physischen Sicherheitsfolgen einer Controller-Kompromittierung schwerwiegend sein.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.