Grid Protection Alliance openPDC/openHistorian: Deserialisierung nicht vertrauenswürdiger Daten in Service-Konsole

Zusammenfassung

Eine Service-Konsole in openPDC und openHistorian deserialisiert vom Client gelieferte Datenstrukturen ohne ausreichende Validierung. Auf Systemen ohne Windows-Authentifizierung kann ein nicht authentifizierter Angreifer aus dem Netzwerk die Deserialisierung eines beliebigen Objektgraphen auslösen, was zur Remote Code Execution mit den Rechten des betroffenen Dienstkontos führen kann. Auf Systemen mit Windows-Authentifizierung muss sich der Angreifer zuerst authentifizieren.

Betroffen

• openPDC vor 2.9.482 (CISA führt zusätzlich Versionen vor 2.9.477 als betroffen)
• openPDC Docker-Image vor 2.9.482
• openHistorian vor 2.8.585 (CISA führt zusätzlich Versionen vor 2.8.580 als betroffen)

Behoben in

• openPDC 2.9.482 oder neuer
• openHistorian 2.8.585 oder neuer
• openPDC Docker-Image: Unbekannt. CISA führt es als betroffen; der Hersteller gibt an, dass der Fix nicht im Docker-Image veröffentlicht wurde.

Umgehung

• Keine vom Hersteller veröffentlichte Workaround-Massnahme für diese CVE bekannt.
• Die Aktivierung der Windows-Authentifizierung schränkt den nicht authentifizierten Angriffspfad ein, behebt die Schwachstelle jedoch nicht.
• Netzwerkzugriff auf die Service-Konsole auf vertrauenswürdige Hosts beschränken.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung (CISA SSVC: Exploitation none; automatisierbar: ja; technische Auswirkung: total).
• Kein öffentlicher Proof of Concept gefunden.
• EPSS 0.00625 laut Vulners (tiefe Schätzung, erneut zu prüfen).

Unsere Empfehlung

• Prüfen, ob openPDC- oder openHistorian-Instanzen, einschliesslich Docker-Container, im Einsatz sind.
• Auf openPDC 2.9.482 bzw. openHistorian 2.8.585 oder neuer aktualisieren und das Update zusammen mit den übrigen CVEs aus ICSA-26-281-02 einspielen.
• Das Docker-Image nicht produktiv einsetzen, bis der Hersteller einen Fix veröffentlicht.
• Die Exposition der Service-Konsole zum Internet und zu Geschäftsnetzen entfernen und den Zugriff per Firewall und sicherem VPN beschränken.
• Service-Konsole auf ungewöhnliche Verbindungen überwachen und prüfen, ob ein Update alte Netzwerkbindungen beibehält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICS Advisory ICSA-26-281-02 www.cisa.gov
• CISA CSAF file ICSA-26-281-02 github.com
• Vulners CVE data and EPSS vulners.com
• Vulners CVE record CVELIST:CVE-2026-100730 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:45.