Murrelektronik aas-edge-client: Fehlende Authentifizierung in REST-API
Zusammenfassung
Der aas-edge-client ist eine Referenzimplementierung einer Asset-Administration-Shell-Edge-Anwendung, die Murrelektronik für ein Testbed-Demonstrationssystem veröffentlicht hat. Seine REST-API lauscht auf allen Netzwerkschnittstellen auf TCP-Port 18000, verlangt keine Authentifizierung und akzeptiert Cross-Origin-Anfragen von beliebigen Ursprüngen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann alle über die GET-Endpunkte bereitgestellten Daten lesen und Submodell-Daten per PATCH-Anfragen verändern; dasselbe ist über eine manipulierte Webseite möglich, die ein Benutzer in einem erreichbaren Netzwerk öffnet. Veränderte Daten werden an den konfigurierten zentralen AAS-Server weitergeleitet.
Betroffen
- Murrelektronik Software AAS Edge Client, alle Versionen (die CNA nennt die Version 0.0.0 als Platzhalter; kein versionierter Bereich bekannt)
Behoben in
- Unbekannt. Der Hersteller stellt keine Korrektur bereit; das Produkt wird nicht mehr gepflegt.
Umgehung
- Verwendung des aas-edge-client einstellen und bestehende Installationen, Kopien des Quellcodes und Container-Images entfernen.
- Bis zur vollständigen Entfernung den Host in einem eingeschränkten Netzwerksegment isolieren, das nur autorisierten Systemen erreichbar ist.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gemeldet.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Ein Proof-of-Concept eines Drittanbieters existiert auf GitHub; dessen Inhalt wurde nicht geprüft.
- EPSS etwa 0,3 %.
Unsere Empfehlung
- Prüfen, ob eine Instanz des aas-edge-client installiert ist.
- Produkt, Quellcode und Container-Images in allen Umgebungen entfernen.
- Prüfen, ob eine Instanz des aas-edge-client von ausserhalb des OT- oder LAN-Segments erreichbar ist.
- Die vom zentralen AAS-Server empfangenen Daten auf manipulierte Werte prüfen.
- Auf betroffenen Hosts gespeicherte oder erreichbare Zugangsdaten und Geheimnisse rotieren.
- Auf unerwartete PATCH-Anfragen an die AAS-API überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
KernelEditor/CVE-2026-94293
Quellen der Recherche
- CERT VDE Advisory VDE-2026-108 www.certvde.com
- Murrelektronik aas-edge-client repository github.com
- SecurityOnline: aas-edge-client vulnerability CVE-2026-94293 securityonline.info
- OffSeq Radar: CVE-2026-94293 radar.offseq.com
- Strix: CVE-2026-94293 www.strix.ai
- CVE-2026-94293 proof-of-concept repository (third-party) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.