Unitronics UniStream Pro/UniLogic: Fehlerhafte Begrenzung von Speicherpuffer-Operationen
Zusammenfassung
Unitronics UniStream Pro Steuerungen (Modelle B10/C10) und die Programmiersoftware UniLogic enthalten eine Schwachstelle bei der Begrenzung von Speicherpuffer-Operationen (CWE-119). Gemäss CNA-Eintrag könnte ein Angreifer mit Netzwerkzugriff und niedrigen Berechtigungen ohne Benutzerinteraktion die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Der genaue Auslöser und die betroffene Komponente sind nicht öffentlich bekannt. Die CNA bewertet die Schwachstelle mit 8.3 (CVSS 3.1), VulDB mit 6.3.
Betroffen
- UniStream Pro Versionen B10 / C10 (genaue betroffene Versionen unbekannt)
- UniLogic Versionen vor 1.41.329
Behoben in
- UniLogic 1.41.329 gemäss CNA-Eintrag
- Der OpenCVE-Eintrag nennt ein Update auf 1.42.220 oder höher; die minimal korrigierte Version ist vom Hersteller noch nicht bestätigt
- Die Release Notes des Herstellers führen CVE-2026-45450 unter den behobenen Problemen auf
Umgehung
- Für Installationen, auf denen der Patch eingespielt wurde, ist kein Workaround dokumentiert.
- Steuerungen und Engineering-PCs nicht über das Internet erreichbar machen und hinter Firewalls in einer segmentierten OT/IT-Zone betreiben.
- Nicht benötigte Dienste (Webserver, VNC, FTP) wenn möglich deaktivieren.
- Zugriff auf UniLogic-Projekte und Fernzugriffsfunktionen einschränken.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- CISA SSVC (gemäss OpenCVE): Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle UniStream Steuerungen B10/C10 und UniLogic-Installationen identifizieren und deren Versionen prüfen.
- UniLogic und UniStream auf die neueste Version von Unitronics aktualisieren; die minimal korrigierte Version vorgängig mit dem Hersteller bestätigen.
- Prüfen, dass keine Steuerung über das Internet erreichbar ist, etwa durch Portweiterleitung, VPN-Fehlkonfiguration oder Fernzugriffsfunktionen.
- Geräte, die nicht zeitnah gepatcht werden können, isolieren und den OT-Netzwerkverkehr überwachen.
- Priorität: hoch bei Internetexposition oder kritischen Prozessen; mittel bei guter Segmentierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- gov.il CVE advisories listing www.gov.il
- Vulners CVE-2026-45450 (CVE list) vulners.com
- VulDB 420694 vuldb.com
- OpenCVE CVE-2026-45450 app.opencve.io
- ThreatINT CVE-2026-45450 cve.threatint.com
- UniLogic Release Notes (Unitronics) downloads.unitronicsplc.com
- UniLogic What's New (Unitronics help) www.unitronicsplc.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.