Schwachstellen im Niagara Framework gefährden smarte Gebäude weltweit : Mehr als ein Dutzend kritischer Sicherheitslücken bedrohen industrielle Steuerungen und Gebäudemanagementsysteme auf Basis des Niagara Frameworks.
Das herstellerneutrale Niagara Framework ist in Tausenden Gebäuden und industriellen Anlagen im Einsatz. Nun offenbaren Sicherheitsexperten gravierende Schwachstellen, die Angreifern Root-Zugriff ermöglichen – vorausgesetzt, das System ist unsachgemäß konfiguriert. Die Folgen reichen bis hin zur vollständigen Systemübernahme.
Das Niagara Framework des Honeywell-Tochterunternehmens Tridium spielt eine zentrale Rolle in der modernen Gebäudeautomation und industriellen Steuerung. Die Plattform ermöglicht es, unterschiedlichste Systeme – etwa Heizung, Lüftung, Klimaanlagen, Beleuchtung, Energieverwaltung und Sicherheitstechnik – einheitlich zu steuern und zu überwachen. Genau diese Vielseitigkeit macht das Framework besonders attraktiv für smarte Infrastrukturen – gleichzeitig aber auch anfällig für systemische Schwachstellen.
Technisch besteht Niagara aus zwei zentralen Komponenten:
• Die Station kommuniziert direkt mit den angeschlossenen Geräten und Subsystemen. • Die Plattform liefert die Softwarebasis, um Stationen zu verwalten, zu konfigurieren und auszuführen.
Beide Module nutzen dieselbe Infrastruktur für Zertifikate und Schlüssel – ein sicherheitskritischer Aspekt, der bei einem Angriff gravierende Folgen haben kann.
Schwachstellen ermöglichen Root-Zugriff bei Fehlkonfiguration
Sicherheitsanalysten von Nozomi Networks Labs haben über ein Dutzend Schwachstellen identifiziert, die unter bestimmten Umständen eine vollständige Kompromittierung von Niagara-Systemen ermöglichen. Entscheidend dabei ist, dass die Systeme häufig nicht gemäß der von Tridium
empfohlenen Sicherheitsrichtlinien konfiguriert sind – besonders hinsichtlich Verschlüsselung und Zugriffsschutz.
Einige der gravierendsten Schwachstellen tragen die folgenden Kennungen:
• CVE-2025-3936 bis CVE-2025-3945, alle mit einem CVSS-Score von 9,8, darunter fehlerhafte Rechtezuweisungen, unzureichende Passwort-Hashing-Mechanismen, kryptografische Lücken und unsichere Eingabevalidierung.
• CVE-2025-3943, bewertet mit 7,3, ermöglicht das Abfangen sensibler Informationen durch GET-Anfragen mit ungeschützter Übertragung.
Angriffskette mit Root-Rechten und persistenter Kontrolle
Nozomi Networks hat herausgefunden, dass zwei neu entdeckte Sicherheitslücken – CVE-2025-3943 und CVE-2025-3944 – miteinander kombiniert werden können, um auf einem auf Niagara basierendem Gerät vollständigen Systemzugriff aus der Ferne zu ermöglichen. Ein Angreifer, der sich im selben Netzwerk befindet wie das Zielgerät, könnte so Root-Rechte erlangen.
Im ersten Schritt der Angriffskette wird die Schwachstelle CVE-2025-3943 genutzt. Wenn auf dem Zielgerät der Syslog-Dienst aktiviert ist, können dabei sicherheitsrelevante Informationen wie das sogenannte Anti-CSRF-Refresh-Token (ein Schutzmechanismus gegen betrügerische Anfragen) über eine unverschlüsselte Verbindung mitgeloggt werden. Der Angreifer kann dieses Token abfangen.
Mit diesem gestohlenen Token lässt sich eine CSRF-Attacke (Cross-Site Request Forgery) starten: Der Angreifer schickt einem Administrator einen speziell präparierten Link. Gelingt es, den Administrator dazu zu verleiten, diesen Link zu öffnen, werden alle HTTP-Anfragen und -Antworten detailliert im Log des Systems gespeichert. Daraus kann der Angreifer dann die Sitzungskennung (JSESSIONID) des Administrators herauslesen und damit auf die Niagara Station zugreifen – mit vollständigen Administratorrechten. In diesem Schritt richtet der Angreifer einen neuen Administrator-Backdoor-Benutzer ein, um dauerhaft Zugang zu behalten.
Im zweiten Schritt nutzt der Angreifer diese Rechte, um den privaten Schlüssel des TLS-Zertifikats des Geräts herunterzuladen. Damit ist es möglich, sogenannte Adversary-in-the-Middle-Angriffe durchzuführen – also den Datenverkehr zwischen Nutzern und System unbemerkt mitzulesen oder zu manipulieren. Der Grund: Wie eingangs erwähnt, verwenden sowohl die Niagara Station als auch die übergeordnete Niagara Platform das gleiche Zertifikat.
Mit Zugriff auf die Platform kann der Angreifer schließlich auch die zweite Schwachstelle, CVE-2025-3944, ausnutzen, um beliebigen Schadcode mit Root-Rechten auf dem Gerät auszuführen. Damit hat er die vollständige Kontrolle über das System – inklusive der Möglichkeit, Prozesse zu manipulieren, Sicherheitssysteme abzuschalten oder den Betrieb gezielt zu stören.
Updates verfügbar – Konfiguration entscheidend
Tridium hat auf die gemeldeten Schwachstellen reagiert und Sicherheitsupdates veröffentlicht. Die Schwachstellen wurden mit den folgenden Versionen behoben:
- Niagara Framework und Enterprise Security:
– Version 4.14.2u2
– Version 4.15.u1
– Version 4.10u.11
Allerdings betonen die Forscher, dass die reine Installation der Updates nicht ausreicht, um die Risiken zu eliminieren. Vielmehr kommt es auf die korrekte Konfiguration und Härtung der Systeme an. Fehlt eine TLS-Verschlüsselung auf der Managementschnittstelle oder sind Syslog-Dienste falsch eingestellt, bleiben Angriffsflächen bestehen.
Kritische Infrastruktur im Fadenkreuz
Da das Niagara Framework häufig als Schnittstelle zwischen Operational Technology (OT) und Informationstechnologie (IT) eingesetzt wird, können Schwachstellen in der Plattform ein gefährliches Einfallstor in sensible Netzwerke darstellen. Wird ein Angriff erfolgreich ausgeführt, sind erhebliche Folgen möglich – etwa Produktionsausfälle, Manipulation von Steuerprozessen oder langfristige Sicherheitsprobleme in kritischen Infrastrukturen wie der Energieversorgung, Gebäudetechnik oder Industrieanlagen.
Nozomi Networks warnt daher eindringlich davor, Konfigurationsfehler in Niagara-Umgebungen zu unterschätzen. Verantwortliche sollten unbedingt prüfen, ob ihre Systeme nach aktuellen Sicherheitsstandards betrieben werden – insbesondere in folgenden Punkten:
- Verschlüsselung aller aktiven Netzwerkverbindungen
- Einsatz sicherer Protokolle für Logging- und Management-Zugriffe
- Deaktivierung aller nicht benötigten Dienste
- Strikte Trennung von IT- und OT-Netzwerken
Nur mit einer konsequent abgesicherten Konfiguration lässt sich das Risiko gezielter Angriffe wirksam minimieren.
Neue Schwachstellen in PROFINET-Implementierung: Geräte durch DoS angreifbar
Die Veröffentlichung fällt mit der Entdeckung mehrerer Speicherfehler in der P-Net C-Bibliothek zusammen. Diese Bibliothek ist eine frei verfügbare Umsetzung des PROFINET-Protokolls für IO-Geräte. Die Schwachstellen könnten es einem unbefugten Angreifer im selben Netzwerk ermöglichen, ein betroffenes Gerät gezielt außer Betrieb zu setzen – etwa durch das Auslösen eines Denial-of-Service (DoS).
Nozomi Networks erläutert die konkreten Auswirkungen: „Ein Angreifer kann mithilfe von CVE-2025-32399 die CPU, auf der die P-Net-Bibliothek ausgeführt wird, in eine Endlosschleife zwingen. Diese verbraucht dauerhaft 100 Prozent der Rechenleistung, wodurch das betroffene Gerät blockiert wird. Eine weitere Schwachstelle, CVE-2025-32405, erlaubt das Überschreiben von Speicherbereichen außerhalb des vorgesehenen Puffers. Dies führt zu einer Speicherbeschädigung, die das System komplett funktionsunfähig macht.“
Die Fehler wurden in Version 1.0.2 der Bibliothek behoben, die Ende April 2025 veröffentlicht wurde. Betreiber sollten umgehend prüfen, ob ihre Systeme noch eine anfällige Version verwenden.
Weitere Sicherheitslücken in Industrietechnik und Überwachungssystemen
Auch jenseits von P-Net wurden zuletzt mehrere kritische Schwachstellen in Industrie- und Überwachungsgeräten aufgedeckt. Betroffen sind unter anderem:
- PowerMonitor 1000 von Rockwell Automation
- ctrlX CORE von Bosch Rexroth
- IB-MCT001 Kameras von Inaba Denki Sangyo
Diese Schwachstellen könnten Angreifern eine Reihe verschiedener Aktionen einräumen:
- Die Ausführung beliebiger Befehle
- Die Übernahme von Geräten
- Das Auslösen von DoS-Zuständen
- Diebstahl sensibler Informationen
- Und sogar den Fernzugriff auf Live-Kamerabilder
Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) warnt insbesondere vor den Schwachstellen in den Inaba-Kameras: „Ein erfolgreicher Angriff kann es ermöglichen, das Login-Passwort des Geräts zu erlangen, unbefugten Zugriff zu erhalten, Daten zu manipulieren und die Einstellungen des Produkts zu verändern.“
Fazit
Die neuen Funde zeigen, wie angreifbar vernetzte Produktions- und Steuerungssysteme sind – insbesondere dann, wenn quelloffene Softwarekomponenten ohne zusätzliche Härtungsmaßnahmen integriert werden. PROFINET ist ein weltweit etablierter Industriestandard für Echtzeitkommunikation in Automatisierungssystemen. Angriffe auf dessen Implementierung haben daher potenziell massive Auswirkungen auf Produktionsprozesse und Anlagensicherheit.
Hinzu kommt, dass viele Industrieanlagen über Jahre hinweg unverändert betrieben werden – ohne regelmäßige Updates, Segmentierung oder Monitoring. Diese fehlende Pflege macht selbst kleinere Schwachstellen zu strategischen Einfallstoren.
Im Falle des Niagara Framework wird deutlich, dass selbst etablierte Systeme ein erhebliches Risiko darstellen können, wenn Sicherheitskonzepte nicht konsequent umgesetzt werden. Für Betreiber von Gebäudemanagementsystemen, Industrieanlagen und Smart-Building-Infrastrukturen ist jetzt der richtige Zeitpunkt, um nicht nur Software-Updates einzuspielen, sondern auch die gesamte Sicherheitsarchitektur kritisch zu überprüfen. Die Zeit für proaktive Sicherheitsmaßnahmen in der OT ist längst überfällig.