Unitronics UniStream Pro/UniLogic: Format-String-Schwachstelle (CWE-134)
Zusammenfassung
Unitronics-UniStream-Pro-Steuerungen (B10/C10) und die Konfigurationssoftware UniLogic vor 1.41.329 enthalten eine Format-String-Schwachstelle durch extern kontrollierte Eingaben (CWE-134). Gemäss CVSS-Vektor kann ein Angreifer mit Netzwerkzugriff und einem Konto mit niedrigen Berechtigungen ohne Benutzerinteraktion die Vertraulichkeit und Integrität stark beeinträchtigen sowie die Verfügbarkeit in geringerem Mass. Erreichbarkeit ausserhalb des OT-Netzes, etwa über Fernzugriff oder Portweiterleitung, macht eine Ausnutzung deutlich wahrscheinlicher.
Betroffen
- UniStream Pro (B10 / C10): betroffene Versionen gemäss CNA, genauer Bereich nicht bestätigt
- UniLogic: Versionen vor 1.41.329
- Unbekannt: UniStream-OS-Firmwareversion für diese CVE
Behoben in
- UniLogic 1.41.329 (Daten von CNA und VulDB)
- Das Lösungsfeld der CNA nennt ein Upgrade von UniLogic und UniStream auf 1.42.220 oder höher; dies widerspricht 1.41.329 und muss bei Unitronics bestätigt werden
- Die Versionshinweise des Herstellers vom September 2026 (UniLogic 1.43.369 / UniStream OS 1.43.261) führen CVE-2026-45452 als behoben auf
Umgehung
Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme des Herstellers gefunden. Die praktische Massnahme ist das Einspielen des Herstellerfixes.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept in den geprüften Quellen gefunden; die Recherche war begrenzt
- EPSS ist niedrig (ca. 0.00267)
Unsere Empfehlung
- Alle UniStream-Pro-Steuerungen B10/C10 und UniLogic-Installationen inventarisieren
- Prüfen, dass keine Steuerung und kein UniLogic-Dienst aus dem Internet erreichbar ist, und den Zugriff auf das OT-Netz beschränken
- UniLogic und UniStream auf die vom Hersteller bestätigte Fixversion aktualisieren, idealerweise auf die neueste Version
- Zugriff auf Steuerungen und Engineering-Systeme auf vertrauenswürdige Konten beschränken und ungewöhnliche Anmeldungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Israel National Cyber Directorate (gov.il) CVE advisories listing www.gov.il
- VulDB CVE-2026-45452 vuldb.com
- Vulners CVE-2026-45452 vulners.com
- OpenCVE CVE-2026-45452 app.opencve.io
- Unitronics UniLogic release notes downloads.unitronicsplc.com
- Strix CVE-2026-45452 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.