Unitronics UniStream Pro/UniLogic: Unzureichende Authentifizierung
Zusammenfassung
Unitronics-UniStream-Pro-Steuerungen (B10/C10) und die Programmiersoftware UniLogic vor 1.41.329 enthalten eine unzureichende Authentifizierung (CWE-287). Ein netzwerkseitig erreichbarer Angreifer mit niedrigen Berechtigungen und ohne Benutzerinteraktion kann unter Umständen die Identitätsprüfung umgehen und auf die Steuerung zugreifen. Der CNA stuft den Schweregrad mit CVSS 8.3 (hoch) ein; die genauen Voraussetzungen sind in den Quellen nicht vollständig beschrieben, und der CVSS-Wert ist noch nicht bestätigt.
Betroffen
- Unitronics UniStream Pro, Versionen B10 und C10
- Unitronics UniLogic, Versionen vor 1.41.329 (gemäss CNA-Eintrag; die Grenze bei 1.41.329 ist nicht bestätigt)
Behoben in
- UniLogic und UniStream auf Version 1.42.220 oder höher aktualisieren (gemäss CNA-Eintrag)
- Genaue Fix-Version für B10/C10 und UniLogic noch nicht beim Hersteller bestätigt; die Quellen widersprechen sich
Umgehung
- Unbekannt. Kein CVE-spezifischer Workaround gefunden.
- Allgemeine Massnahme: Geräte hinter einer Firewall in einem segmentierten OT-Netz betreiben und nicht direkt dem Internet aussetzen.
Ausnutzung
- Keine bekannte Ausnutzung dieser CVE; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden (VulDB gibt an, dass keiner existiert; nicht unabhängig geprüft).
- Unitronics-Geräte wurden in der Vergangenheit angegriffen, eine Verbindung zu dieser CVE ist jedoch nicht bestätigt.
Unsere Empfehlung
- Alle Installationen von UniStream B10/C10 und UniLogic erfassen.
- Prüfen, ob eine Steuerung oder ein Engineering-System aus dem Internet oder aus Büronetzen erreichbar ist, und diese isolieren.
- Die Fix-Version beim Hersteller oder im Advisory der gov.il bestätigen und das Update in einem Wartungsfenster einplanen.
- KEV-Katalog und Herstellerkanäle auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record via OpenCVE app.opencve.io
- Israel National Cyber Directorate advisory listing www.gov.il
- Unitronics UniLogic release notes downloads.unitronicsplc.com
- VulDB entry vuldb.com
- Strix CVE entry www.strix.ai
- Water ISAC: UniStream PLC series update www.waterisac.org
- CISA advisory AA23-335A www.cisa.gov
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.