Organisationen sollten umgehend auf unterstützte und aktuelle Produkte umsteigen.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hinweis auf verfuegbaren Angriffscode: public exploit+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
- Betrifft KRITIS-nahe Branche: energie+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Fuer 2 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Johnson Controls EasyIO FG
In Johnson Controls EasyIO FG Firmware-Versionen <=2.0b52 wurden zwei Schwachstellen entdeckt, die Angreifern vollen unautorisierten Zugriff auf das Gerät ermöglichen. Betroffen sind weltweit eingesetzte Geräte in kritischen Infrastrukturen, die seit 2019 nicht mehr hergestellt werden und für die keine Patches mehr verfügbar sind. Nutzern wird dringend geraten, auf aktuelle Produkte umzusteigen und umfassende Netzwerk-Sicherheitsmaßnahmen zu implementieren, um Angriffe zu verhindern.
SecBoard-Einordnung
Realistisch schlimmster Fall: Der schlimmste Fall ist ein vollständiger unautorisierter Zugriff auf die betroffenen Geräte, der die Manipulation oder Abschaltung kritischer Infrastruktursysteme zur Folge haben könnte, mit potenziell weitreichenden physischen und wirtschaftlichen Auswirkungen.
Empfehlung: Organisationen sollten umgehend auf unterstützte und aktuelle Produkte umsteigen. Bis dahin müssen umfassende Netzwerksicherheitsmaßnahmen wie Netzwerksegmentierung, strikte Zugriffskontrollen und kontinuierliche Überwachung implementiert werden, um die Geräte zu isolieren und Angriffe zu verhindern.
Key Facts
- CVSS
- unbekannt
- EPSS
- 0.1%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- productsecurity@jci.com
- CVSS
- unbekannt
- EPSS
- 0.1%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- productsecurity@jci.com
Betroffen
Organisationen, die Johnson Controls EasyIO FG Geräte mit Firmware-Versionen <=2.0b52 in ihren kritischen Infrastrukturen einsetzen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie alle Johnson Controls EasyIO FG Geräte auf Firmware-Versionen <=2.0b52.
- ▸Stellen Sie sicher, dass alle EasyIO FG Geräte in einem isolierten Netzwerksegment betrieben werden und nur notwendige Kommunikationspfade offen sind.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Implementierung von strikten Zugriffskontrollen und die Protokollierung von Zugriffsversuchen auf EasyIO FG Geräte.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Details zu den 'hard-coded credentials' sind nicht angegeben.
- ▸Die genaue Art der 'improper privilege management' wird nicht detailliert beschrieben.
- ▸Es wird nicht spezifiziert, welche spezifischen kritischen Infrastruktursektoren betroffen sind, außer 'kritische Infrastrukturen'.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir VPN extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Stealth detektieren?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„hard-coded credentials“
„Angreifern vollen unautorisierten Zugriff auf das Gerät ermöglichen“
„vollen unautorisierten Zugriff auf das Gerät ermöglichen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.