Rockwell 1732E ArmorBlock I/O: Authentifizierungsumgehung erlaubt Änderung des Webserver-Passworts
Zusammenfassung
Rockwell 1732E ArmorBlock I/O Module erlauben einem nicht authentifizierten Angreifer im Netzwerk, das Passwort des Webservers ohne gültige Zugangsdaten zu ändern. Dadurch kann das Admin-Konto übernommen und die Gerätekonfiguration unbefugt verändert werden. Der Angreifer benötigt Zugriff auf das Gerätenetz, und die Schwachstelle wird als CWE-294 (Capture-Replay-Authentifizierungsumgehung) klassifiziert.
Betroffen
- Rockwell Automation 1732E ArmorBlock I/O, Firmware 3.012 und älter
- Modelle: 1732E-IB16M12R, 1732E-OB16M12R, 1732E-16CFGM12R, 1732E-IB16M12DR, 1732E-OB16M12DR
Behoben in
- Firmware 3.013 oder neuer
Umgehung
- Kein vom Hersteller dokumentierter Workaround (Advisory: Workaround: No).
- Übergangsmassnahme: Zugriff auf den Webserver und die EtherNet/IP-Ports auf benannte Engineering- und Management-Hosts beschränken und das Modul von interneterreichbaren Segmenten fernhalten.
Ausnutzung
- Von Rockwell nicht als aktiv ausgenutzt gelistet; CISA-SSVC-Bewertung: Exploitation none, Automatable yes.
- Kein öffentlicher Exploit und kein Proof of Concept gefunden; CISA-KEV-Status nicht direkt geprüft.
Unsere Empfehlung
- Inventar der 1732E-Module und ihrer Firmware-Versionen erstellen; Geräte mit Version 3.012 oder älter identifizieren.
- Update auf Firmware 3.013 im nächsten Wartungsfenster planen und dabei die Update-Hinweise von Rockwell befolgen.
- Bis zum Patch die Geräte von der IT und flachen Produktionsnetzen isolieren und den Webserver-Zugriff auf benannte Hosts beschränken.
- Gerätekonfiguration sowie Anmelde- und Passwortänderungsprotokolle auf unerwartete Änderungen prüfen.
- Das Rockwell-Advisory SD1801 und den CISA-KEV-Katalog auf Aktualisierungen prüfen.
- Firmware-Liste auf der Seite SD1801 vor dem Rollout bestätigen, da die Recherche auf unvollständigem Advisory-Text basiert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Rockwell Automation Security Advisory SD1801 www.rockwellautomation.com
- Rockwell Automation Security Advisories index www.rockwellautomation.com
- PSIRT CVE-2026-12655 psirt.com
- Vulners CVE-2026-12655 vulners.com
- HOL Guard CVE-2026-12655 hol.org
- CyberInsider: Rockwell patches ArmorBlock vulnerabilities cyberinsider.co.uk
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.