Monta monta.app: Fehlende Begrenzung von Authentifizierungsversuchen
Zusammenfassung
Die WebSocket-Schnittstelle der EV-Ladeplattform Monta monta.app begrenzt die Anzahl der Authentifizierungsanfragen nicht. Ein Angreifer kann dies für Brute-Force-Angriffe nutzen, um unberechtigten Zugriff zu erlangen, oder für Denial-of-Service-Angriffe, die den Ladebetrieb stören. Es ist kein vorheriger Zugriff nötig, da der WebSocket-Endpunkt über das Internet erreichbar ist. Der CVSS-v4.0-Basiswert beträgt 8.7 (Hoch), und NVD hatte die Analyse zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen.
Betroffen
- Monta monta.app, alle Versionen (vers:all/*) gemäss CISA ICSA-26-274-02
Behoben in
Unbekannt. Es ist keine korrigierte Version veröffentlicht. Monta betreibt die Plattform, daher erfolgt eine allfällige Korrektur serverseitig durch den Hersteller.
Umgehung
- Monta gibt an, auf WebSocket-Ebene eine Ratenbegrenzung und eine automatische Verbindungsdrosselung implementiert zu haben; die Wirksamkeit ist nicht unabhängig überprüft.
- Monta unterstützt OCPP 1.6 Security Profile 2 (HTTP Basic Auth mit TLS) und empfiehlt Betreibern, dies zu aktivieren, sofern die Ladestationen es unterstützen.
- Monta gibt an, authentifizierte Verbindungen auszubauen und nicht authentifizierten Zugriff schrittweise abzuschaffen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Keine bekannte Ausnutzung in freier Wildbahn; die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Wenn Sie Ladestationen über Monta betreiben (zum Beispiel für Flotten, Parkhäuser oder Ladestationen am Arbeitsplatz), behandeln Sie dies mit hoher Priorität.
- Fragen Sie Monta schriftlich nach dem Stand der Massnahmen zur Ratenbegrenzung und nach dem Zeitplan für die Abschaffung nicht authentifizierter Verbindungen.
- Prüfen Sie, ob Ihre Ladestationen OCPP 1.6 Security Profile 2 unterstützen, und aktivieren Sie es.
- Überwachen Sie Ihre Ladestationen auf ungewöhnliche Wiederverbindungs- oder Anmeldeaktivitäten und melden Sie Auffälligkeiten an Monta.
- Halten Sie Ladeinfrastruktur nach Möglichkeit von offenen Netzen fern und trennen Sie sie von Geschäftsnetzen.
- Falls Sie Monta nicht verwenden, ist keine Massnahme erforderlich.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS advisory ICSA-26-274-02 www.cisa.gov
- CISA CSAF document ICSA-26-274-02 github.com
- Vulners CVE-2026-95102 (sibling CVE in same advisory) vulners.com
- Strix CVE-2026-97363 (KEV status) www.strix.ai
- Aviatrix advisory analysis (exploit status, third-party) aviatrix.ai
- CVE threat intelligence record CVE-2026-97363 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.