Das Socomec DIRIS Digiware M-70 ist ein industrielles Leistungsmessgerät, das zur Überwachung elektrischer Anlagen in kritischen Infrastrukturen wie Rechenzentren, Produktionsstätten und gewerblichen Gebäuden eingesetzt wird. Diese Geräte sind essenziell, um die operative Sichtbarkeit der Stromqualität, des Energieverbrauchs und des allgemeinen Systemzustands aufrechtzuerhalten, was sich direkt auf die Betriebszeit und die Energieeffizienz auswirkt.

Ein nicht authentifizierter Angreifer kann aus der Ferne einen Denial-of-Service-Zustand auslösen, wodurch das Gerät nicht mehr reagiert und alle Überwachungsfunktionen unterbrochen werden. Dies erzeugt einen schwerwiegenden operativen blinden Fleck, der potenziell zugrunde liegende elektrische Fehler oder Sicherheitsprobleme verschleiert, was zu längeren Betriebsausfällen, Geräteschäden oder einem ineffizienten Energiemanagement führen kann.

Obwohl die CVE-2025-55221 nicht im KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgeführt ist, ist ein öffentlicher Proof-of-Concept verfügbar. Die geringe Komplexität des Angriffs in Kombination mit der kritischen Funktion dieser Geräte stellt ein erhebliches Risiko dar. Jedes DIRIS Digiware M-70-Gerät, dessen Modbus-TCP-Port (502/TCP) ungeschützten Netzwerken ausgesetzt ist, gilt als hochgradig anfällig.

Produkt	DIRIS Digiware M-70
Datum	05.12.2025 00:37:42

Technische Zusammenfassung

Die Schwachstelle wird durch eine unsachgemäße Verarbeitung fehlerhafter Pakete innerhalb des Modbus-TCP-Dienstes auf Port 502 verursacht. Der Netzwerk-Stack des Geräts validiert oder bereinigt eingehende Anfragen nicht korrekt, was zu einem Denial-of-Service-Zustand führt, wenn ein speziell präpariertes Paket verarbeitet wird. Dies führt höchstwahrscheinlich zu einer unbehandelten Ausnahme oder einer Ressourcenerschöpfung, die den Hauptprozess zum Absturz bringt oder in einer Endlosschleife blockiert.

Der Angriff läuft wie folgt ab:

1. Ein nicht authentifizierter Angreifer baut eine TCP-Verbindung zum Port 502 eines anfälligen Socomec DIRIS Digiware M-70-Geräts auf.
2. Der Angreifer sendet ein einzelnes, speziell präpariertes Modbus-TCP-Paket, das von der erwarteten Protokollstruktur abweicht.
3. Die Firmware des Geräts versucht, dieses anomale Paket zu analysieren, was einen Fehlerzustand auslöst, von dem es sich nicht erholen kann.
4. Das Gerät reagiert nicht mehr auf weitere Netzwerkanfragen, und seine Funktionen zur Energieüberwachung fallen aus, bis ein manueller Neustart durchgeführt wird.

Betroffene Versionen:

• Socomec DIRIS Digiware M-70 Firmware-Version 1.6.9 und wahrscheinlich frühere Versionen.

Ein Patch wurde vom Hersteller veröffentlicht. Benutzer sollten die offiziellen Sicherheitshinweise des Herstellers konsultieren, um die korrekte Firmware-Version zu identifizieren. Ein Angreifer benötigt keine Authentifizierung und lediglich Netzwerkzugriff auf den Modbus-TCP-Port, um den Angriff auszuführen und die kritischen Energieüberwachungsvorgänge zu beeinträchtigen.

Empfehlungen

• Patches umgehend anwenden: Organisationen müssen umgehend alle anfälligen Socomec DIRIS Digiware M-70-Geräte identifizieren und auf die neueste vom Hersteller bereitgestellte stabile Firmware-Version aktualisieren.
• Abhilfemaßnahmen:
  • Beschränken Sie den Netzwerkzugriff auf den Modbus-TCP-Dienst auf Port 502. Verwenden Sie strikte Firewall-Regeln, um sicherzustellen, dass nur vertrauenswürdige Managementstationen und autorisierte industrielle Steuerungssysteme mit dem Gerät kommunizieren können.
  • Implementieren Sie nach Möglichkeit eine Netzwerksegmentierung, um ICS- (Industrial Control Systems) und OT-Systeme (Operational Technology) von IT-Unternehmensnetzwerken und dem Internet zu isolieren.

• Suche und Überwachung:
  • Überwachen Sie den Netzwerkverkehr auf ungewöhnliche oder fehlerhafte Modbus-TCP-Pakete, die an Port 502 gerichtet sind.
  • Konfigurieren Sie Netzwerküberwachungssysteme und Geräteprotokolle so, dass Alarme bei unerwarteten Neustarts oder Phasen der Nichtreaktion der DIRIS Digiware M-70-Geräte ausgelöst werden.
  • Analysieren Sie Firewall- und IDS/IPS-Protokolle, um Scan-Aktivitäten oder Verbindungsversuche zum Port 502 von nicht vertrauenswürdigen IP-Adressen zu erkennen.

• Reaktion auf Vorfälle:
  • Wenn eine Kompromittierung vermutet wird oder ein Gerät nicht mehr reagiert, isolieren Sie es sofort vom Netzwerk, um weitere Unterbrechungen zu verhindern.
  • Bewahren Sie Protokolle und Netzwerkerfassungen des Vorfallszeitpunkts auf, um die forensische Analyse zu erleichtern.
  • Führen Sie einen kontrollierten manuellen Neustart des Geräts durch, um die Überwachungsfunktion nach der Isolierung wiederherzustellen.

• Defense-in-Depth:
  • Führen Sie ein vollständiges Inventar aller OT-Geräte, einschließlich ihrer Firmware-Versionen, um anfällige Systeme schnell identifizieren zu können.
  • Stellen Sie sicher, dass Gerätekonfigurationen regelmäßig gesichert werden, um eine schnelle Wiederherstellung zu ermöglichen.

[Callforaction-THREAT-Footer]