Trex MES: Fehlende Authentifizierung in REST-API ermöglicht Authentifizierungsumgehung
Zusammenfassung
Trex MES, ein Manufacturing Execution System, besitzt einen REST-API-Endpunkt, der für eine kritische Funktion keine serverseitige Authentifizierung erzwingt. Ein Angreifer mit Zugriff auf das angrenzende Netzwerk kann die Authentifizierung ohne Zugangsdaten und ohne Benutzerinteraktion umgehen und Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig beeinträchtigen. Der CVE-Eintrag nennt alle Versionen bis 2026-09-29 als betroffen; eine korrigierte Version ist nicht bekannt.
Betroffen
- Trex MES bis 2026-09-29 (datumsbasierter Bereich; keine Versionsnummern veröffentlicht)
Behoben in
Unbekannt. Es wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.
Umgehung
- Keine Workaround des Herstellers dokumentiert.
- Netzwerkzugriff auf den MES-Host durch Firewall-Regeln, VPN oder eine Allowlist einschränken.
- MES von internetexponierten und unvertrauenswürdigen Netzsegmenten fernhalten.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob eine Trex-MES-Instanz oder ein REST-Endpunkt aus dem Internet, einem Partnernetz oder einem gemeinsam genutzten Werknetz erreichbar ist.
- MES konsequent isolieren; Instanzen mit Netzwerkerreichbarkeit über den eigenen Host hinaus als hohe Priorität behandeln.
- Sicherstellen, dass alle REST-Endpunkte eine Authentifizierung verlangen, und Zugriffsprotokolle auf unerwartete API-Aufrufe prüfen.
- Trex um eine korrigierte Version und eine Herstellerwarnung bitten und die Version jedes Systems erfassen.
- CVE-2026-18782 (SQL-Injection im selben Produkt, am selben Tag veröffentlicht) zusammen mit dieser CVE bewerten.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Hasanuyarrr/CVE-2026-18783-TREX-MES-Uygulamalarinda-Yetkisiz-Nesne-Erisimi
Quellen der Recherche
- TR-CERT national advisory (Siber Güvenlik Başkanlığı) siberguvenlik.gov.tr
- OpenCVE CVE-2026-18783 app.opencve.io
- HOL Guard CVE-2026-18783 hol.org
- ThreatInt CVE-2026-18783 cve.threatint.com
- The Hacker Wire CVE-2026-18783 www.thehackerwire.com
- Strix CVE-2026-18783 www.strix.ai
- OpenCVE CVE-2026-18782 (related SQL injection) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.