Siemens SIMATIC IoT2050'deki 10 puanlı Node-RED açığı saldırılarda kullanılıyor

Güvenlik şirketi VulnCheck, Siemens SIMATIC IoT2050 Advanced cihazlarını etkileyen CVE-2026-58115 açığının 30 Ekim’den beri saldırılarda kullanıldığını açıkladı. Siemens açığı 11 Ağustos’ta yayımladığı SSA-834709 numaralı danışma notuyla duyurmuş ve V4.3.4.1 sürümüyle kapatmıştı. Açığın CVSS 3.1 ve CVSS 4.0 puanı 10.0. The Hacker News bunu 3 Kasım’da haberleştirdi.

Açık

Siemens’in danışma notuna göre açık, Industrial OS çalıştıran ve Node-RED kurulu olan SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) cihazlarının V4.3.4.1 öncesi bütün sürümlerini etkiliyor. Bu cihazlar Node-RED’in HTTP arayüzünde kimlik doğrulaması istemiyor. Bu yüzden kimliği doğrulanmamış uzaktaki bir saldırgan, sistem komutu çalıştırabilen programlama düğümlerine erişip kötü amaçlı akışlar (flow) oluşturabiliyor ve sunucuda en yüksek yetkiyle kod çalıştırabiliyor. Açığın CWE sınıfı CWE-306, yani kritik bir işlev için kimlik doğrulamasının eksik olması.

Node-RED, olay güdümlü uygulamaları tarayıcıdaki bir düzenleyicide düğümleri birbirine bağlayarak oluşturmaya yarayan, Node.js tabanlı bir araç. VulnCheck’e göre araç üretimden tarıma kadar birçok sektörde kullanılıyor ve bu açık, endüstriyel kontrol (ICS/OT) ürünlerine de gömülü olduğunu gösteriyor. Siemens’in danışma notunda açığın saldırılarda kullanıldığına dair bir bilgi yok. Danışma notu yayımlandığından beri güncellenmedi.

Saldırılar

VulnCheck’e göre tuzak sistemlerinden (canary) biri 30 Ekim’de, Microsoft’un ağına (AS8075) ait ve Brezilya’da görünen 4.201.105.116 adresinden gelen tam bir istismar isteği yakaladı. İstek, Node-RED’in POST /flows çağrısıyla üç düğümlü bir akış yükledi. Akış, yüklendikten bir saniye sonra kendiliğinden çalışıp Base64 ile gizlenmiş bir kabuk komutunu çalıştırıyordu. Komut, 85.215.73[.]250 adresindeki sunucunun 8080 portundan bot-linux-amd64 adlı bir dosyayı önce wget, olmazsa curl ile indirip /dev/shm/.b olarak kaydediyor ve arka planda çalıştırıyordu. VulnCheck’e göre /dev/shm bellekte tutulan bir klasör olduğu için dosya diske yazılmıyor, ancak cihaz yeniden başlatıldığında da siliniyor.

VulnCheck, aynı adresten 30 Ekim ile 1 Kasım arasında bu açığa yönelik 16 istek gördü ve 1 Kasım’da yazısını güncelledi. Sonraki isteklerde:

• Aynı sunucudan wget.sh adlı bir betik indirilip çalıştırıldı.
• 45.194.90[.]57 adresinin 38472 portundan .sys_update adlı bir dosya indirilip, bir çekirdek iş parçacığı gibi görünmesi için /tmp/.kworker adıyla çalıştırıldı.
• Bazı isteklerde hiçbir dosya indirilmedi. Bunun yerine akışa, örneğin /cmd gibi bir adres açan ve gelen istekteki parametreyi doğrudan komut olarak çalıştıran bir web shell yerleştirildi. VulnCheck’e göre bu arka kapı, bellekteki dosya yeniden başlatmayla silinse bile kalıyor.

VulnCheck indirilen bot dosyasını, wget.sh betiğini ve .kworker dosyasını ele geçiremediği için bunların ne yaptığını bilmediğini belirtiyor. Şirkete göre saldırıyı gönderen adres son günlerde 8 farklı CVE’ye toplam 125 istek gönderdi. Bunlar arasında Apache Solr, Camunda, Gitea, MLflow, Traefik ve Joomla açıkları var. VulnCheck bu çeşitliliği hedefli bir saldırıdan çok fırsatçı bir toplu taramanın işareti olarak görüyor. Şirket, bulut sağlayıcısındaki bir adresin saldırganın kimliği hakkında pek bir şey söylemediğini de vurguluyor.

VulnCheck, açık için tespit araçlarını 27 Ekim’de yayımladığını, ilk istismar girişimini üç gün sonra gördüğünü ve açığı kendi istismar edilen açıklar listesine eklediğini belirtiyor. Açık 3 Kasım itibarıyla CISA’nın bilinen ve istismar edilen açıklar (KEV) listesinde yok. Saldırıların gerçek bir IoT2050 cihazında başarılı olduğuna dair bir bilgi de yok. VulnCheck’in gördüğü istekler kendi tuzak sistemlerine geldi.

Önerilen önlemler

• Siemens, SIMATIC IoT2050 Advanced cihazlarının V4.3.4.1 ya da sonraki bir sürüme güncellenmesini öneriyor.
• Siemens, güncelleyemeyenlere Node-RED’i kaldırmayı ya da kurulumu Node-RED’in kendi güvenlik belgelerindeki adımlarla sıkılaştırmayı öneriyor. The Hacker News’e göre bu adımlar HTTPS erişimini açmak, düzenleyiciyi ve yönetim API’sini parolayla ya da bir OAuth/OpenID sağlayıcısıyla korumak ve HTTP düğümleriyle Node-RED Dashboard’u temel kimlik doğrulamasıyla korumak.
• VulnCheck, Node-RED kullananların endüstriyel ortamlar dahil kurulumlarının dışarıdan erişilebilir olup olmadığını kontrol etmesini ve yüklü akışlarda beklenmeyen exec düğümleri ya da HTTP uç noktaları aramasını öneriyor.