CVE-2025-41769: Kritisk bufferoverløb i PROFINET-service
Kritisk bufferoverløb i PROFINET-service lader angribere uden login genstarte eller overtage udstyret. Isolér netværket og opdatér firmware.
Hvad er det?
Sårbarheden CVE-2025-41769 findes i PROFINET-service, en netværksprotokol der bruges til at styre og overvåge industrielt automationsudstyr som PLC’er og industriswitche. Fejlen er et bufferoverløb, CWE-120, hvor programmet skriver mere data ind i en hukommelsesblok, end der er plads til, og derved overskriver naboliggende hukommelse. I standardkonfigurationen kan en angriber på netværket sende en særligt udformet PROFINET-pakke og få enheden til at gå ned eller til at køre kode, angriberen selv har valgt. Der kræves ingen login og ingen handling fra en bruger, kun netværksadgang til enheden.
Hvem rammer det?
Sårbarheden rammer enheder, der kører PROFINET-service i standardkonfiguration. Det er typisk PLC’er, industriswitche og andet automationsudstyr, som findes i produktionsvirksomheder, procesindustri og bygningsautomation. NVD-beskrivelsen angiver ikke et specifikt produktnavn eller versionsnummer, så I skal tjekke jeres udstyrsleverandørs sikkerhedsbulletiner for at afklare, om jeres konkrete model og firmwareversion er ramt.
Hvad kan ske?
En angriber, der har adgang til jeres produktionsnetværk, kan sende en ondsindet PROFINET-pakke uden at logge ind. I bedste fald genstarter enheden uventet, og et anlæg eller en produktionslinje stopper. I værste fald får angriberen mulighed for at køre egen kode på enheden og dermed overtage styringen af udstyret, hvilket kan påvirke sikkerheden i produktionen og medføre driftsstop, materielle skader eller i sjældne tilfælde fare for medarbejdere.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, hvilket er kritisk. Angrebet kræver netværksadgang, men ingen login og ingen brugerinteraktion, og kompleksiteten er lav. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed kan alle kompromitteres fuldt ud. Der er pr. offentliggørelsesdatoen ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes, men den lave angrebskompleksitet og det høje skadespotentiale betyder, at den bør prioriteres højt.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen, mens I venter på en opdatering.
- Kontakt jeres udstyrsleverandør for at få oplyst, om der findes en firmwareopdatering, der retter sårbarheden, og installér den så hurtigt som muligt.
- Isolér PROFINET-netværket fra internettet og fra kontornetværket med VLAN eller firewall, så kun betroede systemer kan nå enheden.
- Deaktivér PROFINET-servicen på enheder, hvor den ikke er nødvendig for driften.
- Overvåg netværkstrafik til og fra automationsudstyret for uventede genstarter eller unormale forbindelser.
- Dokumentér, hvilke enheder i jeres anlæg der bruger PROFINET, som del af jeres OT-aktivoversigt.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har kompetencer til at segmentere OT-netværket eller vurdere firmwareopdateringen.
Isolér netværket og opdatér inden 24 timer
Vi anbefaler, at I kontakter jeres udstyrsleverandør nu for at afklare patch-status, og at I i mellemtiden isolerer PROFINET-netværket fra andre netværk. Det er ikke forsvarligt at vente til et planlagt servicevindue, hvis enheden er tilgængelig fra et netværk, andre end driftspersonalet har adgang til. Er PROFINET-netværket allerede fuldt segmenteret og uden adgang udefra, kan I vente til næste planlagte servicevindue med at opdatere firmware.
Tidslinje
Konkrete eksempler
Produktionsstop hos en dansk fremstillingsvirksomhed
En dansk fremstillingsvirksomhed har PLC’er på produktionsnetværket, som er forbundet til kontornetværket uden ordentlig segmentering. En medarbejders inficerede bærbare computer bliver brugt som springbræt, og en angriber sender en ondsindet PROFINET-pakke til en PLC. Enheden genstarter uventet, og produktionslinjen står stille i flere timer, mens driftsteknikere fejlsøger uden at kende den bagvedliggende årsag.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Det afhænger af, om jeres automationsudstyr bruger PROFINET-service i standardkonfiguration. Kontakt jeres udstyrsleverandør eller integrator og bed dem bekræfte, om jeres model og firmwareversion er nævnt i deres sikkerhedsbulletin for CVE-2025-41769.
Hvordan tjekker vi, om vores anlæg er sårbart?
Lav en liste over alt udstyr, der kommunikerer via PROFINET, og undersøg firmwareversion og netværksadgang for hver enhed. Enheder, der kan nås fra kontornetværket eller internettet, bør prioriteres først.
Kan vi vente til den planlagte servicevindue?
Kun hvis PROFINET-netværket allerede er fuldt segmenteret, så kun betroet driftspersonale har netværksadgang til enheden. Er enheden tilgængelig fra et bredere netværk, bør I isolere den nu og ikke vente på næste servicevindue.
Skal vi anmelde dette til myndighederne?
Hvis I driver kritisk infrastruktur eller er underlagt NIS2-reglerne, skal I følge jeres interne procedure for hændelsesrapportering. For de fleste øvrige virksomheder er der ikke krav om anmeldelse, blot fordi en sårbarhed er offentliggjort, men det bør indgå i jeres risikovurdering.
Hvad gør vi, hvis leverandøren ikke har en opdatering endnu?
Så er netværkssegmentering og deaktivering af PROFINET-servicen, hvor det er muligt, jeres vigtigste beskyttelse. Overvåg samtidig enheden for uventede genstarter, og følg leverandørens bulletiner for en kommende opdatering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The device’s PROFINET service is affected by a buffer overflow vulnerability that exists in the default configuration. An unauthenticated remote attacker could exploit this vulnerability to reboot the device or execute arbitrary code.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.