CVE-2026-58115
CRITICAL(10.0)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS 10 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
1.0%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
10
Technische Schwere
Beschreibung
A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4.1 running Industrial OS with Node-RED installed). Affected devices do not enforce authentication on the Node-RED HTTP interface, allowing unauthenticated access to programming nodes that are capable of executing system commands on the server. This could allow an unauthenticated remote attacker to create malicious flows through the HTTP interface in order to execute arbitrary code on the underlying server with maximum privileges.
Erkennung & Indikatoren
Ausnutzung
In den geprüften Quellen nicht genannt
Behobene Versionen
- V4.3.4.1
Threat-Hunting-Queries
Die Schwachstelle ermöglicht unauthentifizierten Zugriff auf die Node-RED HTTP-Schnittstelle, um Systembefehle auszuführen. Die Detektion konzentriert sich auf ungewöhnliche HTTP-Anfragen an Node-RED-Endpunkte, insbesondere solche, die auf die Erstellung oder Änderung von Flows hindeuten, gefolgt von der Ausführung von Systembefehlen auf dem IoT-Gerät. Da Node-RED auf dem IoT2050 Advanced läuft, i
Sentinel/Defender KQL
DeviceProcessEvents
| where InitiatingProcessCommandLine contains "node-red" or InitiatingProcessFileName =~ "node-red"
| where ProcessCommandLine contains "sh" or ProcessCommandLine contains "bash" or ProcessCommandLine contains "powershell" or ProcessCommandLine contains "python"
| where InitiatingProcessParentFileName =~ "node" or InitiatingProcessParentFileName =~ "npm"
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath, SHA256Splunk SPL
index=* (sourcetype=linux_audit OR sourcetype=syslog OR sourcetype=windows_security) (process="node-red" OR parent_process="node-red") (command="sh" OR command="bash" OR command="powershell" OR command="python")
| table _time, host, process, parent_process, command, userSigma
title: Node-RED RCE via Missing Authentication
logsource:
category: process_creation
product: linux
detection:
selection:
ParentImage|endswith: '\node'
Image|endswith: '\sh' OR Image|endswith: '\bash' OR Image|endswith: '\python'
CommandLine|contains: 'node-red'
condition: selection
level: criticalElastic ES|QL
from process where process.parent.executable == 'node' and (process.executable == 'sh' or process.executable == 'bash' or process.executable == 'python') and process.args contains 'node-red' | select @timestamp, host.name, process.executable, process.args, process.parent.executableSecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.
Ausgewertete Quellen