Ein neuer Sicherheitshinweis des CERT-Bund weist auf kritische Schwachstellen in den Produktlebenszyklus‑Management‑Lösungen von PTC hin. Ein entfernter, anonymer Angreifer könne die Lücken ausnutzen, um Sicherheitsvorkehrungen zu umgehen, beliebigen Code auszuführen und vertrauliche Daten offenzulegen.
Betroffene Produkte
Die Advisory betrifft die Softwarekomponenten von PTC Windchill und PTC FlexPLM. Laut Angaben des CERT-Bund sind mehrere Versionen, die bis zum Jahresende 2025 im Einsatz sind, von den Schwachstellen betroffen. Konkrete Versionsnummern werden im vollständigen Hinweis angegeben.
Technische Details
Die Analyse des CERT-Bund beschreibt mindestens drei einzelne Schwachstellen: eine fehlerhafte Authentifizierungsprüfung, eine unsichere Deserialisierung von Eingabedaten und eine unzureichende Zugriffskontrolle bei API‑Endpunkten. Durch Kombination dieser Fehler könne ein Angreifer ohne vorherige Authentifizierung Befehle auf dem Server ausführen.
Mögliche Auswirkungen
Ein erfolgreicher Angriff ermögliche die Ausführung von beliebigem Code im Kontext des Anwendungsservers. Darüber hinaus könne vertrauliche Unternehmensdaten, wie Konstruktionspläne oder Stücklisten, von dem Angreifer eingesehen oder exfiltriert werden. Der potenzielle Schaden reiche von Betriebsunterbrechungen bis hin zu wirtschaftlichen Verlusten.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät betroffenen Unternehmen, die von PTC bereitgestellten Sicherheitspatches umgehend zu installieren. Zusätzlich sollten betroffene Systeme isoliert und Netzwerkzugriffe auf die betroffenen Dienste eingeschränkt werden, bis die Updates verfügbar sind.
Reaktion von PTC
PTC hat in einer Stellungnahme bestätigt, dass an den genannten Schwachstellen gearbeitet werde und entsprechende Updates in Kürze bereitgestellt werden. Das Unternehmen empfiehlt Kunden, die offiziellen Sicherheitshinweise zu verfolgen und die empfohlenen Patches zu übernehmen.
Weiterführende Einschätzungen
Der Vorfall verdeutliche die Notwendigkeit regelmäßiger Sicherheitsüberprüfungen von Unternehmenssoftware. Ähnliche Advisorys des CERT-Bund aus den Vorjahren zeigten, dass Angreifer vermehrt auf Schwachstellen in PLM‑Systemen abzielen, um kritische Unternehmensdaten zu kompromittieren.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung