Monta monta.app: Fehlende Authentifizierung an WebSocket-Endpunkten
Zusammenfassung
Die WebSocket-Endpunkte der Ladestationen-Plattform Monta monta.app verlangen keine Authentifizierung für verbindende Ladestationen. Ein entfernter Angreifer kann sich ohne Zugangsdaten als Ladestation ausgeben, was unberechtigten Zugriff auf Daten und unberechtigte Aktionen einschliesslich Rechteausweitung ermöglichen kann. CISA stuft die technischen Auswirkungen als total ein, allerdings ist bisher keine öffentliche Ausnutzung gemeldet.
Betroffen
- Monta monta.app, alle Versionen (vers:all/*) gemäss CISA
- Der NVD-Eintrag befand sich zum Zeitpunkt der Erstellung noch in der Analyse
- VulDB führt die betroffene Version als unbekannt auf
Behoben in
Unbekannt. Es ist keine korrigierte Version aufgeführt; Monta betreibt die Plattform als gehostetes Backend, daher erfolgt die Behebung serverseitig.
Umgehung
- Auf den Ladestationen OCPP 1.6 Security Profile 2 (HTTP Basic Auth mit TLS) aktivieren, wie von Monta empfohlen
- Monta hat Ratenbegrenzung und automatische Verbindungsdrosselung auf WebSocket-Ebene eingeführt
- Laut Monta ersetzt eine neue authentifizierte Verbindung eine bestehende Sitzung für dieselbe Stations-ID
- Steuerungsnetze nicht aus dem Internet erreichbar halten und für Fernzugriffe sichere VPNs verwenden
Ausnutzung
- Der CISA wurde keine öffentliche Ausnutzung gemeldet
- Ein öffentlicher Proof-of-Concept-Exploit ist nicht bekannt
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Beim Betreiber oder bei Monta abklären, ob monta.app verwendet wird und ob Security Profile 2 auf allen Ladestationen aktiv ist
- Von Monta schriftlich bestätigen lassen, dass die Backend-Korrektur und die Ratenbegrenzung für Ihren Mandanten aktiv sind
- Prüfen, dass Verbindungen der Ladestationen nicht über unverwaltete Netze oder öffentliche Gateways laufen
- Auf doppelte oder unerwartete Stationsverbindungen achten und Stations-IDs als öffentlich behandeln
- CISA-Beratung und NVD auf Aktualisierungen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS Advisory ICSA-26-274-02 www.cisa.gov
- CISA CSAF document ICSA-26-274-02 github.com
- VulDB CVE-2026-95102 vuldb.com
- Aviatrix threat research on Monta vulnerabilities aviatrix.ai
- SecurityOnline: Monta EV charging vulnerabilities securityonline.info
- Vulners CVE-2026-95102 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.