Red Team Energie & Versorger Network & Perimeter

MZ Automation GmbH libiec61850

ICS-CERT Advisories·30. Juli 2026, 12:00

Originalartikel lesen bei ICS-CERT Advisories

Die MZ Automation GmbH libiec61850-Software ist von mehreren Schwachstellen betroffen, die es Angreifern ermöglichen könnten, einen Denial-of-Service-Zustand zu verursachen. Betroffen sind Versionen unter 1.6.2, die weltweit in kritischen Infrastrukturen wie der Energieversorgung eingesetzt werden. Nutzern wird dringend empfohlen, auf Version 1.6.2 zu aktualisieren, um die Sicherheit zu gewährleisten.

Kurzfassung

Die MZ Automation GmbH libiec61850-Software, Versionen unter 1.6.2, ist von mehreren Schwachstellen betroffen. Diese Schwachstellen könnten Angreifern ermöglichen, einen Denial-of-Service-Zustand zu verursachen. Die betroffene Software wird weltweit in kritischen Infrastrukturen, insbesondere im Energiesektor, eingesetzt.

Relevanz für Manager / CISOs

Priorität:Sofort

Betroffene

Organisationen, die MZ Automation GmbH libiec61850-Software in Versionen unter 1.6.2 verwenden, insbesondere im Energiesektor und anderen kritischen Infrastrukturen.

Warum relevant

Diese Schwachstellen können zu Denial-of-Service-Zuständen führen, was die Verfügbarkeit kritischer Systeme in der Energieversorgung und anderen Infrastrukturen erheblich beeinträchtigen kann. Ein Ausfall kann weitreichende operative und finanzielle Folgen haben.

Realistisches Worst Case

Ein Angreifer verursacht einen Denial-of-Service-Zustand in kritischen Infrastruktursystemen, die libiec61850 verwenden, was zu Betriebsunterbrechungen und potenziell weitreichenden Störungen führen kann.

Handlungsempfehlung

Aktualisieren Sie alle Instanzen der MZ Automation GmbH libiec61850-Software auf Version 1.6.2 oder höher.

Defensive Validierung / Purple-Team Checks

▸Überprüfen Sie alle Systeme, die die libiec61850-Bibliothek verwenden, um die installierte Version zu identifizieren.
▸Stellen Sie sicher, dass alle libiec61850-Instanzen auf Version 1.6.2 oder höher aktualisiert wurden.
▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Aktivitäten oder Denial-of-Service-Indikatoren, die auf eine Ausnutzung dieser Schwachstellen hindeuten könnten.

MITRE ATT&CK Zuordnung

Taktik	Technik	Konfidenz	Beleg
Impact	T1499 Denial of Service	High	Angreifern ermöglichen könnten, einen Denial-of-Service-Zustand zu verursachen.

Offene Punkte

Spezifische CVE-IDs für die Schwachstellen sind nicht im Artikel genannt.
Details zu den genauen Angriffsvektoren oder der Komplexität der Ausnutzung sind nicht spezifiziert.
Die genaue Anzahl oder Art der betroffenen kritischen Infrastrukturen außerhalb des Energiesektors ist nicht detailliert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Möglich

Kundenfragen

Haben wir Active Directory / Entra extern erreichbar?
Haben wir VPN extern erreichbar?
Können wir Resource Development detektieren?
Können wir Initial Access detektieren?

MITRE ATT&CK Kill Chain (4 Techniken)

Resource Development

T1583.004

Server

T1584.004

Server

T1588.006

Vulnerabilities

Initial Access

T1566

Phishing

Vollständigen Artikel lesen bei ICS-CERT Advisories

Erwähnte CVEs (8)

CVE-2026-66720MEDIUM(6.5)

EPSS 0%

The GOOSE subscriber component improperly validates the UTC timestamp field in unauthenticated IEC 61850 GOOSE (EtherType 0x88B8) Layer-2 multicast messages. A specially crafted GOOSE frame containing an undersized timestamp field can trigger a heap out-of-bounds read during message processing, causing the process to crash and resulting in a denial-of-service condition.

Details NVD

CVE-2026-66369MEDIUM(6.5)

EPSS 0%

The GOOSE parser contains an off-by-one boundary-handling flaw that can be triggered by a single unauthenticated Layer-2 multicast frame on the process bus. When specific GOOSE message fields are processed, the parser advances its internal buffer position incorrectly, resulting in a heap out-of-bounds read. On affected platforms, this condition reliably terminates the subscriber process and causes a denial-of-service.

Details NVD

CVE-2026-63550MEDIUM(6.5)

EPSS 0%

The MMS BER decoder contains a boundary-handling flaw in the processing of certain fields within confirmed-request messages. When a crafted BER-encoded element is received over an established MMS session (TCP port 102), the decoder may advance its internal read position incorrectly, leading to a heap out-of-bounds read. This condition causes the MMS handling process to terminate unexpectedly, resulting in a denial-of-service.

Details NVD

CVE-2026-65421MEDIUM(6.5)

EPSS 0%

The MMS BER decoder contains a flaw in decoding fixed-width BER fields (boolean/integer): an attacker-supplied length value is not validated, causing a read past the end of a heap buffer. This leads to termination of the MMS service process and a denial-of-service condition.

Details NVD

CVE-2026-66364MEDIUM(6.5)

EPSS 0%

The GOOSE payload parser contains a boundary handling flaw that can be triggered by a single unauthenticated Layer 2 multicast frame on the process bus. When processing specific payload fields, an attacker controlled inner element length may exceed its enclosing length, causing the parser to over read by one byte. This out-of-bounds read reliably terminates the subscriber process, resulting in a denial-of-service condition.

Details NVD

CVE-2026-66349MEDIUM(6.5)

EPSS 0%

The MMS server connection handler contains a flaw in its processing of BER-encoded request data. When an MMS confirmed request PDU containing an extended BER tag is received over an established session, the decoder may advance its internal buffer incorrectly due to a missing bounds check. This results in a one byte heap out-of-bounds read and causes the MMS service process to terminate, leading to a denial-of-service condition.

Details NVD

CVE-2026-56758MEDIUM(6.5)

EPSS 0%

The ACSE layer contains a flaw in the processing of AARQ PDUs during MMS connection establishment. When parsing certain fields within the calling AP title, an attacker controlled length value of zero or one may cause the parser to read past the end of a heap buffer.

Details NVD

CVE-2026-66360HIGH(7.5)

EPSS 0%

The ISO Presentation layer contains a flaw in the handling of specific parameters during normal mode negotiation. A missing length check in the processing of the encoded presentation data allows an attacker controlled field with a zero length value to trigger a bounded heap over read. This condition occurs before MMS session establishment, a crafted TCP/102 connection attempt can trigger the issue. The resulting over read causes the process to terminate, leading to a denial of service condition.

Details NVD

Red-Team-Relevanz

MITRE ATT&CK Kill Chain (4 Techniken)

Verwandte Artikel