Das Socomec DIRIS Digiware M-70 ist eine kritische Infrastrukturkomponente, die für die erweiterte Energieüberwachung und -messung in industriellen Umgebungen, Rechenzentren und gewerblichen Einrichtungen eingesetzt wird. Es fungiert als zentrales Gateway, das Daten von mehreren Messmodulen aggregiert, um einen Echtzeit-Einblick in die Energiequalität und den Energieverbrauch zu ermöglichen. Sein ordnungsgemäßer Betrieb ist für die OT-Transparenz (Operational Technology), die vorbeugende Wartung und das Energiemanagement von entscheidender Bedeutung.

Ein Zustand eines vollständigen Denial-of-Service kann durch einen nicht authentifizierten Remote-Angreifer ausgelöst werden. Diese Schwachstelle ist besonders schwerwiegend, da sie weder eine Benutzerinteraktion noch einen vorherigen Zugriff erfordert. Das Hauptrisiko betrifft jedes DIRIS Digiware M-70 Gateway, dessen Modbus TCP-Port (502) nicht vertrauenswürdigen Netzwerken ausgesetzt ist. Obwohl derzeit keine bestätigten Berichte über eine aktive Ausnutzung vorliegen, existiert ein öffentlicher und einfacher Exploit-Weg, was die Wahrscheinlichkeit erhöht, dass böswillige Akteure ihn in Zukunft ins Visier nehmen könnten, um den Betrieb kritischer Infrastrukturen zu beeinträchtigen.

Produkt	Socomec DIRIS Digiware M-70
Datum	05.12.2025 12:34:46

Technische Zusammenfassung

Die Schwachstelle wird durch eine unzureichende Zugriffskontrolle auf die Konfigurationsregister des Systems verursacht, die über das Modbus TCP-Protokoll zugänglich sind. Ein nicht authentifizierter Angreifer kann den Befehl ‘Write Single Register’ (Funktionscode 6) ausnutzen, um spezifische Speicherbereiche zu ändern, die den Betriebszustand des Geräts steuern, und es schließlich in einen nicht funktionsfähigen Modus zwingen, der bis zu einem manuellen Neustart bestehen bleibt.

Die Angriffskette verläuft wie folgt:

1. Der Angreifer baut eine Netzwerkverbindung zum Zielgerät über den TCP-Port 502 auf.
2. Der Angreifer sendet ein speziell präpariertes Modbus-Paket mit dem Funktionscode 6, um einen bestimmten Wert in das Register 58112 zu schreiben.
3. Ein zweiter bösartiger Schreibvorgang wird auf dem Register 29440 ausgeführt.
4. Ein abschließender Schreibvorgang auf das Register 57856 wendet die bösartigen Konfigurationsänderungen an und löst den Denial-of-Service-Zustand aus.

Das Gerät stellt den normalen Betrieb, einschließlich Datenerfassung und Kommunikation, sofort ein und reagiert faktisch nicht mehr. Organisationen wird empfohlen, sich an Socomec zu wenden, um Informationen zu anfälligen und aktualisierten Firmware-Versionen zu erhalten.

Empfehlungen

• Sofortiges Patchen: Kontaktieren Sie den Hersteller Socomec, um die neuesten Firmware-Updates für alle DIRIS Digiware M-70-Geräte zu erhalten und zu installieren.
• Abhilfemaßnahmen:
  • Implementieren Sie eine strikte Netzwerksegmentierung, um das M-70 Gateway und andere OT-Geräte vom Unternehmens-IT-Netzwerk und dem Internet zu isolieren.
  • Verwenden Sie eine Firewall, um den Zugriff auf den TCP-Port 502 ausschließlich auf vertrauenswürdige IP-Adressen sowie autorisierte Engineering-Workstations oder SCADA-Systeme zu beschränken. Verweigern Sie standardmäßig den gesamten Datenverkehr.

• Suche & Überwachung:
  • Überwachen Sie den Netzwerkverkehr, um unbefugte externe oder interne Systeme zu erkennen, die versuchen, über den TCP-Port 502 mit dem DIRIS Digiware M-70 zu kommunizieren.
  • Erstellen Sie Erkennungsregeln im SIEM-System oder in der Netzwerküberwachungslösung, um Alarme bei einer schnellen Abfolge von Modbus-‘Write Single Register’-Anfragen (Funktionscode 6) an die Register 58112, 29440 und 57856 auszulösen.

• Incident Management:
  • Wenn ein Gerät nicht mehr reagiert, implementieren Sie sofort Firewall-Regeln, um die Quell-IP-Adresse des verdächtigen Angriffs zu blockieren.
  • Isolieren Sie das betroffene Gerät vom Netzwerk, um seitliche Bewegungen oder weitere Auswirkungen zu verhindern.
  • Führen Sie einen manuellen Neustart durch, um den Betriebszustand des Geräts wiederherzustellen, und spielen Sie Patches auf, bevor Sie es wieder mit dem Netzwerk verbinden.

• Defense-in-Depth:
  • Führen Sie regelmäßig Audits der Firewall-Regeln und Netzwerkzugriffskontrollen für die kritische OT-Infrastruktur durch.
  • Stellen Sie sicher, dass Backup- und Wiederherstellungsverfahren für kritische Überwachungssysteme vorhanden sind.

[Callforaction-THREAT-Footer]