Im Dezember 2021 stufte das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Schwachstelle CVE-2021-44228 – bekannt als Log4Shell – als kritisch ein. Betroffen ist die weitverbreitete Java-Logging-Bibliothek Apache Log4j in den Versionen 2.0 bis 2.14.1. Ein nicht authentifizierter Angreifer kann über manipulierte Log-Einträge beliebigen Code auf dem Zielsystem ausführen (Remote Code Execution), was das BSI zur höchsten Warnstufe Rot veranlasste.
Für die industrielle Automatisierung ist diese Schwachstelle besonders relevant, weil Java-basierte Komponenten in zahlreichen SCADA-Systemen, Engineering-Tools, Netzwerkmanagementsoftware und IIoT-Plattformen eingesetzt werden. Selbst Geräte, die auf den ersten Blick nicht als IT-Systeme wahrgenommen werden, können intern Java-Laufzeitumgebungen nutzen.
Der Netzwerkspezialist Indu-Sol aus Schmölln, bekannt für PROFINET-Diagnosegeräte und Industrial-Ethernet-Switches, hat auf die BSI-Warnung mit einer dedizierten Kundeninformation reagiert. Darin bewertet das Unternehmen, inwieweit eigene Produkte – etwa aus den Linien PROmesh oder ENSight – von der Log4j-Schwachstelle betroffen sind. Solche herstellerseitigen Stellungnahmen sind für Betreiber industrieller Anlagen essenziell, um den Handlungsbedarf im eigenen Netzwerk schnell einzugrenzen.
Für Automatisierungsingenieure ergibt sich daraus eine konkrete Handlungsempfehlung: Alle softwarebasierten Komponenten im OT-Netzwerk – von der Netzwerkverwaltungssoftware über den PROFINET-Diagnose-Agenten bis hin zu cloudbasierten IIoT-Gateways – sind auf Log4j-Abhängigkeiten zu prüfen. Hersteller-Advisories, wie die von Indu-Sol veröffentlichte Kundeninformation, liefern dabei den schnellsten Einstieg, da sie produktspezifische Aussagen zur Betroffenheit und zu verfügbaren Patches oder Workarounds treffen.
Der Vorfall verdeutlicht strukturell, dass die Konvergenz von IT und OT nicht nur Effizienzgewinne bringt, sondern auch IT-typische Schwachstellen in die Produktionsumgebung überträgt. Bibliotheken wie Log4j sind in der klassischen IT seit Jahren im Einsatz und wurden erst durch die zunehmende Softwareintegration in Steuerungs- und Diagnosesystemen zum OT-Thema. Ein kontinuierliches Schwachstellenmanagement, wie es etwa IEC 62443 fordert, ist daher kein optionales Add-on, sondern betriebliche Notwendigkeit.
Betreiber, die noch keine Bewertung ihrer eingesetzten Indu-Sol-Produkte vorgenommen haben, sollten die veröffentlichte Kundeninformation auf der Indu-Sol-Webseite einsehen und bei Bedarf den Hersteller-Support kontaktieren. Generell gilt: Netzwerksegmentierung, restriktive Firewall-Regeln zwischen IT und OT sowie ein aktueller Patch-Stand bei allen softwarebasierten Systemkomponenten reduzieren das Angriffspotenzial auch bei zukünftigen Zero-Day-Schwachstellen erheblich.
Quelle: Indu-Sol Presse – https://www.indu-sol.com/aktuelles/?tx_nmnews_pi1%5Bnews%5D=291&cHash=dc654161b520cf9d7dbd9bf9c5485034
