Im Jahr 2000 spezifiziert, in zu vielen Produkten nicht vorhanden

Das Stück der Woche, weil hier in einem ausgelieferten Produkt steht, was sonst in Architekturdiskussionen bleibt. CISA stuft den Ladepunkt XCharge C6 mit CVSS 9,8 (v3.1) ein und klassifiziert die Schwachstelle als „Download of Code Without Integrity Check": „Because cryptographic signatures are not verified, an attacker with the ability to interfere with or impersonate the management channel could cause the device to install an unauthorized firmware package." Was genau im Gerät passiert, beschreibt SaiFlow, deren Forscher den Fall gemeldet haben (saiflow.com, „RCE by Design"): Geprüft wird eine MD5-Summe, die der Absender zusammen mit der Firmware mitliefert, und ein im Paket enthaltenes Skript läuft anschließend mit Root-Rechten. Der naheliegende Reflex ist der falsche: Ein stärkerer Hash ändert nichts, weil der Absender ihn ebenfalls berechnet. Was fehlt, ist ein Schlüssel. Und im selben Advisory steht eine dritte Schwachstelle, die kaum jemand zitiert: Ein über den Ladestecker erreichbarer Dienst akzeptiert ein voreingestelltes Administratorkonto. Das geht nicht aus der Ferne, dafür braucht man das Kabel in der Hand. XCharge gibt an, die Korrektur auf alle betroffenen Ladepunkte ausgerollt zu haben.

Der Fall, in dem der Pfad dieses Steuergerät nicht erreicht. Über 421.000 Tucson und Santa Cruz der Baujahre 2025 und 2026: Die Frontkamera-Software reagiert in bestimmten Fahrsituationen zu empfindlich auf Objekte voraus, der Notbremsassistent greift verfrüht ein. 376 Meldungen zwischen Oktober 2024 und April 2026, vier Auffahrunfälle mit vier gemeldeten Verletzten. In der NHTSA-Akte 26V316 steht als Abhilfe „Remedy Type: Software", eine Datei und sonst nichts, und im Datensatz steht „overTheAirUpdate: false", die Abhilfe kommt also nicht über die Luft. Jeder Halter soll ab dem 17. Juli einen Brief bekommen und zum Händler fahren, wo ein Techniker die Kamera neu bespielt. Es gibt gute Gründe, eine bremsrelevante Kamera in der Werkstatt zu lassen: Kalibrierung, ein Auftrag und eine Funktionsprüfung je Fahrzeug, und die Sprengweite eines Varianten-Fehlers bei Flottengeschwindigkeit. Über diese Gründe wird nur nicht beim Rückruf entschieden, sondern Jahre vorher in der Architektur und im Einkaufsvertrag.

Der Fall, in dem niemand die Geräte kennt, die der eigene Fernzugang erreicht. Am 30. Juli warnten FBI und EPA, CISA veröffentlichte am selben Tag eine eigene Meldung. Betroffen waren Allen-Bradley-Steuerungen von Rockwell, die Serien MicroLogix 1100 und 1400; das FBI hält ausdrücklich fest, dass es dieses Verhalten nur bei diesen beobachtet hat. Die verlinkte Meldung nennt daneben Geräte von Schneider Electric und Siemens; die gehören zu einer anderen Warnung vom April. Begonnen hatte es am Wochenende des 26. Juli in Minnesota, danach meldeten Betriebe in mindestens sieben Bundesstaaten Vorfälle. Die Angreifer änderten Passwörter und IP-Adressen, wodurch Betreiber Überwachung und Steuerung ihrer eigenen Anlagen verloren. Ein Betrieb meldete außerdem veränderte SPS-Projektdateien, aufgefallen an Abweichungen in der Ladder-Logik über mehrere Standorte hinweg (FBI-Meldung I-073026-PSA). Das ist die einzige unautorisierte Codeänderung an einem Gerät in dieser Woche, und sie kam nicht über einen Update-Pfad. Sie kam über einen offenen Port. Folgen: Abkochgebote, Handbetrieb, Überflutungen, Druckabfall. Der Satz, den ich mir notiert habe, steht in CISAs Leitfaden zur Internet-Exposition vom August, in dem die Behörde über hundert aus dem Internet erreichbare Systeme im Wasser- und Abwassersektor zählt: Die Angriffsfläche umfasse „cellular modems installed by operators, vendors, or system integrators that may not be documented or included in routine attack surface scans". Wer einen Fernzugang baut, ohne zu wissen, welche Modems im Feld stecken, hat keine Wartungsschnittstelle. Er hat eine Tür, die in keiner Liste steht.

Das Stück, das zeigt, dass Vertrauen ein Verfallsdatum hat. Microsofts Secure-Boot-Zertifikate von 2011 laufen in diesem Jahr aus: Der KEK ist am 24. Juni abgelaufen, die UEFI CA am 27. Juni, die Production PCA folgt am 19. Oktober. Der KEK ist die Berechtigung, mit der Einträge in die Erlaubnis- und Sperrlisten eines Geräts geschrieben werden. Microsoft schreibt zuerst die Entwarnung: Geräte ohne die Zertifikate von 2023 „will continue to start and operate normally, and standard Windows updates will continue to install". Und dann den Satz, um den es geht: „However, these devices will no longer be able to receive new security protections for the early boot process, including updates to Windows Boot Manager, Secure Boot databases, revocation lists, or mitigations for newly discovered boot level vulnerabilities." Das ist die Windows-Kette, und ein industrielles Linux-Gerät hängt an einem Vertrauensanker im SoC statt an Microsofts CA. Das Prinzip überträgt sich trotzdem, und es ist unbequem: Ihr Vertrauensanker ist selbst etwas mit Laufzeit, seine Erneuerung ist ein Update, und dieses Update läuft über die Firmware Ihres Lieferanten. Wer zwanzig Jahre Lebensdauer verkauft, hat diese Pflege mitverkauft, ob sie im Vertrag steht oder nicht.

Zum Schluss der Fall, in dem signiert wurde und es trotzdem nicht half. RAUC, einer der verbreiteten Open-Source-Updater für Embedded Linux, hat im März eine Lücke geschlossen: Im alten Bundle-Format „plain" lief bei Paketen über 2 GiB ein Zähler über, und die Signatur deckte nur noch die ersten Bytes der Nutzlast ab. Wer ein legitim signiertes Bundle in der Hand hatte, konnte den Rest verändern. CVSS 7,2 (v4.0), behoben in 1.15.2; die neueren Bundle-Formate „verity" und „crypt" waren nie betroffen. Zusammen mit dem ersten Stück steht die Frage der Woche da. Das eine Produkt hat nichts signiert, das andere die falschen Bytes. „Werden Updates signiert?" fängt nur das erste davon.