Security Advisories für unsere Produkte.

Hier veröffentlichen wir Sicherheitsmeldungen zu unseren Produkten — strukturiert, datiert und mit allen Informationen, die Sie für Ihre eigene Risikobewertung brauchen.

RSS-Feed abonnieren CVD Policy psirt@traeger.de
Format

Was eine Security Advisory bei uns enthält.

Jede Advisory folgt einem einheitlichen Aufbau, damit Sie auf einen Blick die für Sie relevanten Informationen erfassen können.

Was und wie kritisch

Eindeutiger Identifikator, Schweregrad nach CVSS v3.1 mit Vektor-String und betroffene Produkt-Versionen. Präzise und ohne Spielraum für Interpretation, damit Sie Ihre Risikobewertung sauber durchführen können.

Was zu tun ist

Workaround falls verfügbar, Versionshinweis zum Fix und klare Handlungs-Anweisung. Sie sehen auf einen Blick, ob sofortiges Eingreifen nötig ist oder ob Sie auf das nächste reguläre Release warten können.

Externe Referenzen

CVE-Nummer falls vergeben, externe Bulletins der OPC Foundation oder vergleichbarer Stellen, sowie Anerkennung des Melders auf Wunsch. Damit Ihre Lieferketten-Dokumentation lückenlos bleibt.

Aktuelle Advisories

Veröffentlichte Sicherheitsmeldungen.

Suchen Sie nach Identifikator, Produkt oder Stichwort. Filter nach Schweregrad und Status verfeinern die Liste. Jeder Eintrag hat eine eindeutige URL, die Sie direkt teilen können.

3 von 3 veröffentlichten Advisories
Demo
TRAEGER-2026-0001

Unzureichende Zertifikatskettenprüfung in Opc.UaFx.Advanced

Critical · 9.1 Behoben
Schweregrad
9.1 Critical nach CVSS v3.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Betroffene Produkte
  • Opc.UaFx.Advanced 2.51.0 bis einschließlich 2.52.3
  • Opc.UaFx.Advanced 2.50.x — alle Versionen
Beschreibung
Die Validierung der OPC UA Zertifikatskette akzeptierte unter bestimmten Konfigurationen Zertifikate, deren Signaturpfad nicht vollständig zu einer vertrauenswürdigen Wurzel-Zertifizierungsstelle führte. Ein Angreifer in der Netzwerkstrecke zwischen Client und Server konnte dadurch bei aktivierter Zertifikatsauthentifizierung als legitimer Server auftreten und sowohl Lese- als auch Schreibzugriffe abfangen oder manipulieren (Man-in-the-Middle-Angriff).
Auswirkung
Vertraulichkeit und Integrität der OPC UA-Kommunikation sind kompromittierbar. In typischen industriellen Einsatzszenarien (Datenextraktion aus Maschinensteuerungen) bedeutet dies, dass Prozessdaten mitgelesen oder verfälscht werden können. Die Verfügbarkeit ist nicht direkt betroffen.
Workaround
Setzen Sie OpcCertificateCheck.AllowedHashAlgorithms ausschließlich auf SHA256 oder höher und aktivieren Sie zusätzlich OpcCertificateCheck.RequireFullChainValidation = true. Diese Konfiguration erzwingt eine strikte Pfadvalidierung und mitigiert die Schwachstelle.
Fix
Behoben in Opc.UaFx.Advanced 2.52.4. Empfehlung: zeitnahes Update auf die aktuelle 2.52.x oder die neuere 2.53.x-Reihe.
CVE
Beispiel — für einen Demo-Eintrag wird keine CVE-Nummer vergeben.
Externe Referenzen
Anerkennung
Mit Dank an Lukas Becker, Sicherheitsforscher bei der ENVISIO GmbH, für die verantwortungsvolle Meldung und die enge Zusammenarbeit bei der Validierung des Fixes.
Demo
TRAEGER-2026-0002

Session-Timeout-Bypass im MQTT-Konnektor von Codabix

High · 7.4 Workaround verfügbar
Schweregrad
7.4 High nach CVSS v3.1 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L
Betroffene Produkte
  • Codabix 2.4.0 bis einschließlich 2.4.7
Beschreibung
Der MQTT-Konnektor in Codabix prüft das konfigurierte Session-Timeout nicht für alle Re-Authentifizierungs-Pfade. Authentifizierte Sitzungen können dadurch über die konfigurierte Timeout-Dauer hinaus aktiv bleiben, wenn der Client wiederholt CONNECT-Pakete mit identischer ClientId sendet.
Auswirkung
Eine kompromittierte Authentifizierung wird nicht zuverlässig durch das Session-Timeout invalidiert. In Umgebungen mit kurzlebigen Zugangsdaten (z. B. rotierende Tokens) verlängert dies das Zeitfenster für unbefugten Zugriff erheblich.
Workaround
Reduzieren Sie das Keep-Alive-Intervall des MQTT-Brokers auf maximal 30 Sekunden und setzen Sie codabix.mqtt.maxClientLifetime in der Konfiguration explizit auf einen festen Wert (empfohlen: 1800 Sekunden). Dies schließt die Lücke vollständig, bis der Fix verfügbar ist.
Fix
Ein Fix wird in Codabix 2.4.8 bereitgestellt. Voraussichtliches Veröffentlichungsdatum: Anfang Dezember 2026. Kunden mit Tier 2 oder Tier 3 Service erhalten eine separate Vorab-Information.
CVE
Beantragt — wird nach Vergabe ergänzt.
Anerkennung
Mit Dank an einen anonymen Melder, der die verantwortungsvolle Offenlegung gewählt hat.
Demo
TRAEGER-2025-0003

Übermäßiges Logging von Verbindungsmetadaten

Medium · 5.3 Behoben
Schweregrad
5.3 Medium nach CVSS v3.1 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Betroffene Produkte
  • Opc.UaFx alle 2.4x-Versionen vor 2.49.0
Beschreibung
Bei aktiviertem Debug-Logging wurden Teile der Verbindungs-Metadaten — einschließlich des verwendeten User-Tokens — im Klartext in das Log geschrieben. Bei lokalem Lesezugriff auf die Log-Dateien konnten so Authentifizierungsinformationen extrahiert werden.
Auswirkung
Information Disclosure bei lokalem Zugriff auf Log-Dateien. Keine Auswirkung auf Integrität oder Verfügbarkeit. Praktisch relevant nur in Umgebungen mit unzureichend abgesicherten Log-Pfaden.
Workaround
Debug-Logging deaktivieren oder Log-Pfade durch Dateisystem-Berechtigungen auf den Service-Account beschränken.
Fix
Behoben in Opc.UaFx 2.49.0 — sensitive Felder werden vor der Log-Ausgabe redigiert.
Für Sicherheitsforscher

Eine mögliche Schwachstelle in unseren
Produkten gefunden?

Sicherheitsmeldungen richten Sie bitte direkt an unseren PSIRT-Kanal — nicht an den allgemeinen Support. So stellen wir sicher, dass die Meldung sofort den richtigen Personenkreis erreicht.

PSIRT-Kontakt

OpenPGP-Verschlüsselung verfügbar · auffindbar über /.well-known/security.txt

Unsere Coordinated Vulnerability Disclosure Policy beschreibt den Meldeweg, unsere Reaktionszeiten und die Vereinbarung zur koordinierten Offenlegung. Bei einer Meldung im Rahmen dieser Policy verzichten wir auf rechtliche Schritte gegen Sie als Melder. Bug-Bounty-Zahlungen leisten wir nicht; auf Wunsch nennen wir Sie als Melder in der veröffentlichten Advisory.

Weitere Fragen

Sie brauchen mehr Detail als auf dieser Seite steht?

Sicherheitsmeldungen
psirt@traeger.de PGP-verschlüsselt verfügbar
Compliance-Anfragen
info@traeger.de
Service-Vertrag
sales@traeger.de
Telefon
+49 961 48 23 0-0

„Eine Advisory ist mehr als ein Eintrag — sie soll Ihre Bewertung und Ihr Handeln stützen. Wenn etwas unklar bleibt, sprechen Sie uns an.“

CVSS v3.1 Bewertung
CVE-Nummerierung
CVD nach BSI TR-03183-3
OpenPGP für PSIRT