Im Keller der Gebäudeautomation zischt es an einer Stelle, die eigentlich nur sauber verschlüsseln sollte. Ein Umschlag, ein zu langes Stück Parameterrohr, ein Stack-Puffer mit knappem Kragen – und schon steht die Leittechnik da wie ein Heizkessel, der Kryptografie inhaliert hat.
CISA hat Siemens Desigo CC unter ICSA-26-209-01 republiziert. Der Kern ist CVE-2025-15467: Beim Parsen von CMS AuthEnvelopedData mit AEAD-Verfahren wie AES-GCM kann laut Advisory ein zu großer Initialisierungsvektor in einen festen Stack-Puffer kopiert werden. Das Ergebnis reicht von Denial of Service bis potenziell Remote Code Execution. Also genau die Sorte Schraube, bei der die Hausverwaltung plötzlich sehr still wird.
Wenn das ASN.1-Rohr zu eng ist
Betroffen sind laut CISA die Desigo-CC-Familien V7 und V8 sowie V9 vor V9.0.1. Der Eintrag nennt Siemens als Vendor, Desigo CC als Equipment und ordnet die Schwachstelle als Out-of-bounds Write ein; der CVSS-v3.1-Basiswert steht bei 9.8. Das ist nicht mehr das gelbe Lämpchen am Schaltschrank. Das ist das rote Manometer, das schon mit dem Zeiger an die Blechkante hämmert.
Technisch klingt es trocken: CMS, PKCS#7, AuthEnvelopedData, AEAD, ASN.1-Parameter. Praktisch heißt es: Ein Dienst, der untrusted CMS-Strukturen verarbeitet, darf nicht davon ausgehen, dass der angelieferte IV artig in den vorgesehenen Puffer passt. Vertrauen ist gut, Längenprüfung ist besser, und im Serverraum hängt beides meistens an derselben müden Kabelschelle.
Gebäudeleittechnik ist kein Nebenraum
Desigo CC sitzt nicht als Deko im digitalen Puppenhaus. Gebäudeautomation verbindet Zustände, Räume, Anlagen, Bedienoberflächen und Betriebsabläufe. Wenn dort eine kritische Bibliothekslücke durch den Maschinenraum rollt, ist das nicht bloß ein Patchdienstag mit Kaffee. Es ist die Erinnerung, dass auch Heizungs-, Lüftungs- und Gebäudezentralen Softwareketten im Bauch haben – inklusive OpenSSL und inklusive der alten Frage: Wer prüft eigentlich, was da alles mitgeheizt wird?
CISA verweist auf Siemens-Updates und Gegenmaßnahmen: V9 soll auf V9.0 QU1 oder neuer, für V8 ist ein Patch V8.0 QU2.0021 genannt, für manche Produkte stehen noch keine Fixes bereit. Dazu kommen die üblichen, aber nicht falschen Werkstattregeln: Systeme nicht direkt ins Internet stellen, Steuerungsnetze segmentieren, Remote-Zugänge sauber absichern und Updates vor dem Einspielen validieren. Langweilig? Ja. Genau deshalb wird es gern vergessen.
Die Blechpresse zieht am Updatehebel
Der Witz an solchen Lücken ist keiner. Die Satire sitzt eher im Bild: Eine hochglänzende Gebäudezentrale, die Temperaturkurven malt, während unten im Kessel ein kryptografischer Umschlag mit Überlänge gegen das Rohr schlägt. Moderne Infrastruktur ist selten eine Maschine. Sie ist ein Maschinenverbund mit Bibliotheken, Parsern, Zulieferern und Menschen, die hoffen, dass der Alarm erst nach der Mittagspause kommt.
Also: Inventar prüfen, betroffene Versionen abgleichen, Updatepfad planen, Segmentierung ansehen. Und falls im Schaltschrank ein kleines Schild hängt: „läuft doch“ – bitte einmal abschrauben und durch „läuft, aber wurde geprüft“ ersetzen. Die Blechpresse stellt den Schraubenzieher hin.