Siemens License Server öffnet einen Pfad für Schadcode

Wenn der Lizenzdienst selbst zur Schwachstelle wird

Ein Lizenzserver ist im Alltag so aufregend wie ein Aktenordner: Er zählt Sitze, prüft Tokens und meldet sich nur, wenn ein Zertifikat abläuft. Genau deshalb ist die Siemens License Server Sicherheitslücke bemerkenswert, denn CISA hat ihn unter der Sicherheitswarnung ICSA-26-225-07 aus genau dieser Bedeutungslosigkeit herausgeholt. Der Siemens License Server (SLS) ist von zwei Schwachstellen betroffen, die einem Angreifer laut Advisory erlauben, seine Rechte auszuweiten und beliebige Dateien auf dem System zu lesen – zwei Fähigkeiten, die für sich schon unangenehm sind und in Kombination aus einem Verwaltungsdienst einen Hebel für den ganzen Host machen.

Siemens hat für beide Fälle bereits eine neue Version bereitgestellt und rät ausdrücklich zum Umstieg auf die aktuelle Fassung. Das ist der seltene Fall, in dem der Hersteller nicht erst wochenlang moderiert, sondern direkt sagt: aktualisieren, fertig. Für die Siemens License Server Sicherheitslücke heißt das konkret, dass zwei CVEs mit unterschiedlicher Reichweite gleichzeitig behoben werden müssen, weil sie an unterschiedlichen Versionsgrenzen hängen.

Der Rest dieses Artikels arbeitet die Ursache jeder Schwachstelle heraus, beschreibt die realistische Auswirkung im Betrieb und nennt die Gegenmaßnahme, die Siemens selbst vorschlägt – ohne die Lage dramatischer zu malen, als die Advisory sie beschreibt.

Bemerkenswert ist außerdem, dass beide Fehler nicht in einer Randfunktion stecken, sondern im Kern des Dienstes: Rechteverwaltung auf der einen, Dateizugriff auf der anderen Seite. Genau diese beiden Bereiche entscheiden normalerweise darüber, ob ein Server vertrauenswürdig arbeitet – und genau dort setzt die Advisory an.

CVE-2026-69108: Eine Sudoers-Regel öffnet die Root-Tür

Die erste Schwachstelle, CVE-2026-69108, sitzt in der Rechteverwaltung des Lizenzdienstes: Eine unsichere Sudoers-Richtlinie erlaubt es einem bereits angemeldeten, aber nicht privilegierten Nutzer, beliebige Befehle auszuführen und Dateien mit Root-Rechten abzulegen. Aus einem gewöhnlichen Dienstkonto wird damit in einem Schritt die volle Systemkontrolle – der Lizenzserver dient nur noch als Sprungbrett, nicht mehr als Ziel.

CISA bewertet den Fehler mit einem CVSS-3.1-Basiswert von 6,0 (mittel), weil ein lokaler Zugang vorausgesetzt wird. Betroffen sind alle Versionen des Siemens License Server unterhalb von V5.1. Für die Siemens License Server Sicherheitslücke ist das der Teil, der selten aus dem Internet heraus ausgelöst wird, dafür aber jede Support-Session, jeden Wartungszugang und jeden Dienstaccount zur potenziellen Einstiegsstelle macht.

Die Ursache ist banal, die Folge nicht: eine zu großzügig geschriebene Sudo-Regel, danach root. Als Gegenmaßnahme nennt Siemens den Versionswechsel auf V5.1 oder neuer; wer diesen Schritt aufschiebt, sollte wenigstens genau dokumentieren, wer überhaupt lokalen Zugriff auf den Lizenzserver hat, und diese Liste kürzen, statt sie zu verwalten.

Praktisch bedeutet das für Administratoren: Jeder Account, der überhaupt eine Shell auf dem Lizenzserver-Host bekommt – ob Wartungstechniker, Monitoring-Agent oder Backup-Job – ist ein potenzieller Ausgangspunkt. Eine sinnvolle Sofortmaßnahme neben dem Update ist deshalb, temporäre oder selten genutzte Konten auf diesem Host konsequent zu deaktivieren, statt sie „für den Notfall“ aktiv zu lassen.

CVE-2026-69109: Pfadtraversierung ohne Bremse

Die zweite Schwachstelle, CVE-2026-69109, betrifft die Eingabeprüfung: Weil Nutzereingaben nicht ausreichend bereinigt werden, kann ein entfernter Angreifer über eine klassische Pfadtraversierung auf beliebige Dateien der Anwendung zugreifen. Kein Passwort nötig, kein lokaler Zugang, nur ein Pfad, der ein paar Verzeichnisse zu weit nach oben zeigt.

Mit einem CVSS-3.1-Basiswert von 7,5 (hoch) und einem Angriffsvektor über das Netzwerk ist das die deutlich unbequemere der beiden Lücken, wenn man über die Siemens License Server Sicherheitslücke in Netzwerken mit offenem Zugriff auf den Lizenzdienst spricht. Betroffen sind alle Versionen unterhalb von V5.3, also auch Installationen, die den ersten Fehler bereits mit V5.1 abgestellt haben.

CISA klassifiziert den Fehler als CWE-35, Pfadtraversierung, und Siemens verweist als Gegenmaßnahme auf das Update auf V5.3 oder neuer. Wer beide CVEs mit einem einzigen Wartungsfenster erledigen will, aktualisiert also direkt auf die höhere Versionsgrenze, statt sich mit V5.1 zufriedenzugeben und die zweite Lücke offen zu lassen.

Für die Einordnung lohnt der Blick auf den Angriffsvektor: Kein Nutzerkonto, keine Authentifizierung, nur ein präparierter Pfad reicht laut Advisory aus, um Dateien außerhalb des eigentlich vorgesehenen Verzeichnisses zu lesen. Konfigurationsdateien mit Zugangsdaten oder Lizenz- schlüsseln gehören zu den naheliegendsten Zielen für einen solchen Zugriff.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellseedream_v4_5; quality=high; 5120x2880PromptA security hand removes a compromised gear from a small license lock and places an intact replacement behind concentric network boundary rings beside a closed recovery capsule. A tight documentary composition emphasizes hands-on consequences in a fully text-free scene with blank surfaces and no legible markings. Photorealistic style image. Mood: practical, focused, and investigative. Avoid: watermark, signature, blurry, low quality, distorted, deformed.

Codeausführung verändert die Priorität

Auf dem Papier klingt „Rechteausweitung auf einem Lizenzserver“ nach einem Randthema für die nächste Wartungsliste. In der Praxis verschiebt die Kombination beider CVEs die Priorität deutlich nach oben, weil sich ein Angreifer den Weg selbst zusammenbauen kann: erst über die Pfadtraversierung Konfigurationsdateien und Zugangsdaten einsehen, dann über die Sudoers-Lücke lokal Root-Rechte erlangen und eigene Dateien als Systembenutzer ablegen.

Für die Siemens License Server Sicherheitslücke bedeutet das, dass ein einzelner offen erreichbarer Lizenzdienst zwei Schritte statt einem entfernt liegt, nicht weil eine dritte, noch unbekannte Lücke nötig wäre, sondern weil beide dokumentierten Fehler zusammenpassen wie Schlüssel und Schloss. Genau das ist der Grund, warum Sicherheitsteams die beiden CVEs nicht getrennt priorisieren sollten, selbst wenn nur eine Version vordergründig zutrifft.

Wer wissen will, wie schnell aus einer nüchtern formulierten Advisory ein aktiv ausgenutzter Vorfall wird, findet dazu Anschauungsmaterial in der jüngsten CISA-Warnung zu einer kritischen Zero-Day-Lücke, die binnen Tagen in freier Wildbahn auftauchte. Auch dort begann die Geschichte mit einer trocken klingenden Versionsangabe, nicht mit einer Schlagzeile.

Für Sicherheitsteams heißt das konkret: Priorisierung nach Einzel-CVSS-Wert verschleiert das eigentliche Risiko. Wer nur auf den höheren Wert von 7,5 schaut und die zweite Lücke als „nur mittel“ einstuft, unterschätzt, wie leicht sich beide Wege zu einer vollständigen Kompromittierung verbinden lassen.

Warum ausgerechnet der Lizenzserver zum Ziel wird

Lizenzserver stehen selten in der Demilitarisierten Zone, dafür aber fast immer zentral im internen Netz, weil jede Fachanwendung sie erreichen muss. Diese zentrale Position macht den Siemens License Server zu einem attraktiven Ziel: Wer ihn kompromittiert, sitzt an einer Kreuzung, über die viele andere Systeme ohnehin schon Vertrauen mitbringen.

CISA ordnet die Siemens License Server Sicherheitslücke dem Sektor Informationstechnologie zu, nicht der reinen Fertigungsautomatisierung, und verzeichnet einen weltweiten Einsatz des Produkts bei einem Firmensitz in Deutschland. Das ist ein nützlicher Hinweis für die Priorisierung: Der Lizenzdienst gehört in dieselbe Patch-Disziplin wie jeder andere zentrale IT-Server, nicht in eine gesonderte OT-Ausnahme, die erst beim nächsten großen Wartungsfenster mitläuft.

Wer den Lizenzserver bislang als Randnotiz im Asset-Inventar behandelt hat, sollte ihn ab jetzt genauso behandeln wie einen Verzeichnisdienst oder eine zentrale Authentifizierung – nicht, weil er plötzlich wichtiger geworden ist, sondern weil die Advisory zeigt, dass er es schon lange war.

Ein zusätzlicher Grund, warum sich ein Angriff auf den Lizenzdienst lohnt: Viele Fachanwendungen vertrauen seinen Antworten blind, ohne die Kommunikation zusätzlich zu prüfen. Wer den Dienst kontrolliert, kann im schlechtesten Fall auch beeinflussen, welche Software als lizenziert und damit als funktionsfähig gilt – ein Nebeneffekt, den die Advisory nicht ausformuliert, der sich aus der zentralen Rolle des Dienstes aber ergibt.

Netzwerkgrenzen bremsen, heilen aber nichts

CISA empfiehlt für Fälle wie diesen die üblichen, aber deshalb nicht falschen Basismaßnahmen: Netzwerkexposition minimieren, Systeme nicht direkt aus dem Internet erreichbar machen, Steuerungsnetze hinter Firewalls von Geschäftsnetzen trennen und Fernzugriffe nur über aktuell gehaltene VPN-Lösungen erlauben. Für die betroffenen SLS-Versionen bremst das den Weg zum Angreifer, schließt die Lücke aber nicht.

Das ist der Punkt, an dem die Siemens License Server Sicherheitslücke zur Geduldsprobe für Netzwerkarchitekten wird: Eine Segmentierung reduziert, wie viele Systeme den verwundbaren Dienst überhaupt erreichen, verändert aber nichts an der Sudoers-Regel oder der fehlenden Eingabeprüfung selbst. Ein Angreifer, der bereits im richtigen Netzsegment sitzt, hat weiterhin denselben Zugriff wie vor der Segmentierung.

Vergleichbar war das Muster zuletzt bei Angriffen auf offen erreichbare Kommunikationsserver zu beobachten, etwa bei der Zero-Click-Lücke in Zimbra-Mailservern, die der Gruppe Laundry Bear zugeschrieben wird: Auch dort halfen Netzwerkgrenzen als erste Bremse, ersetzten aber nie das eigentliche Update.

Wer die Segmentierung als alleinige Antwort verkauft, verwechselt eine Verzögerung mit einer Lösung. CISA selbst formuliert die Empfehlung auch nur als generelle Absicherung „vor dem Einsatz weiterer Verteidigungsmaßnahmen“ – als Ergänzung zum Patch, nicht als Ersatz dafür.

Updatepfad: Was Siemens vorschreibt und was zusätzlich hilft

Der Herstellerfix ist erfreulich unkompliziert: kein Workaround, kein Konfigurationstrick, sondern schlicht ein Versionswechsel. Für CVE-2026-69108 reicht laut Siemens ein Update auf V5.1 oder neuer, für CVE-2026-69109 ist V5.3 oder neuer erforderlich; wer ohnehin plant, sollte gleich auf die höhere Versionsgrenze zielen und beide Baustellen in einem Wartungsfenster schließen.

Über den reinen Patch hinaus lohnt sich für die Siemens License Server Sicherheitslücke eine kurze Bestandsaufnahme: Wer hat lokalen Zugriff auf den Lizenzserver, welche Anwendungen fragen ihn übers Netz an, und ist dieser Zugriff wirklich auf das Nötige begrenzt? Diese drei Fragen beantworten sich nicht durch das Update, sondern nur durch einen Blick in die eigene Zugriffsliste.

Wer den Patch aus betrieblichen Gründen nicht sofort einspielen kann, sollte Siemens‘ Netzwerkempfehlungen ernst nehmen, sie aber als Zwischenlösung verstehen und mit einem festen Termin für den Versionswechsel verknüpfen, statt sie zur Dauerlösung zu erklären.

Ein Detail, das in der Eile gern übersehen wird: Der Herstellerlink führt direkt auf die Produktseite mit den Downloads, nicht auf eine allgemeine Startseite. Wer den Patch sucht, sollte also gezielt nach der genannten Produkt-ID suchen, statt sich durch das allgemeine Siemens-Supportportal zu klicken.

Fünf Schritte für den Montag nach dem Advisory

Am Ende bleibt von der Siemens License Server Sicherheitslücke eine überschaubare, aber verbindliche Liste übrig, die sich ohne dramatische Gesten abarbeiten lässt: Version prüfen, Zugriff prüfen, patchen, segmentieren, dokumentieren. Genau in dieser Reihenfolge ergibt sie Sinn, weil jeder Schritt den nächsten kleiner macht.

Wer zuerst die installierte SLS-Version feststellt, weiß sofort, ob eine oder beide CVEs zutreffen. Wer danach die Liste der Zugriffs- berechtigten prüft, erkennt, wie groß das reale Risiko lokal überhaupt ist. Erst danach folgt das Update, gefolgt von einer Netzwerk- kontrolle, die den Lizenzdienst dort platziert, wo er laut Zuständigkeit auch hingehört.

Der letzte Schritt ist der unglamouröseste und deshalb der am häufigsten übersprungene: kurz dokumentieren, welche Version wann aktualisiert wurde und wer das bestätigt hat. Ein Lizenzserver mag langweilig sein – ein ungepatchter Lizenzserver mit Root-Zugriff für Unbefugte ist es garantiert nicht mehr.

Wer diese fünf Schritte einmal durchläuft, hat die Siemens License Server Sicherheitslücke nicht nur behoben, sondern auch ein wenig mehr Klarheit darüber gewonnen, wie viele Dienste im eigenen Netz eine ähnliche stille, zentrale Rolle spielen wie ein Lizenzserver – und ob deren Zugriffslisten ebenfalls eine Aufräumaktion vertragen könnten.