CISA warnt: Kritische Lantronix EDS5000-Lücke CVE-2025-67038 wird aktiv ausgenutzt
CISA warnt vor CVE-2025-67038 (CVSS 9.8) in Lantronix EDS5000 Series. Die Lücke wird aktiv ausgenutzt, ermöglicht Code Injection mit Root-Rechten. Teil der BRIDGE:BREAK-Familie. Sofort patchen, Netzwerksegmentierung prüfen.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat am 24. Juni 2026 eine dringende Warnung zu einer kritischen Sicherheitslücke in Lantronix EDS5000 Series Geräten herausgegeben. Die Schwachstelle CVE-2025-67038 mit einem CVSS-Score von 9.8 (Critical) wird bereits aktiv ausgenutzt. Betroffen sind Serial-to-IP-Konverter der EDS5000 Series mit Firmware 2.1.0.0R3, darunter die Modelle EDS5008 und EDS5016.
Meldung und Einordnung
Am 24. Juni 2026 veröffentlichte The Hacker News einen detaillierten Bericht über die CISA-Warnung. Die Schwachstelle wurde von Forescout Research Vedere Labs im April 2026 entdeckt und ist Teil der BRIDGE:BREAK-Schwachstellenfamilie. Die CISA hat die Lücke in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Für FCEB-Behörden (Federal Civilian Executive Branch) gilt die Frist des BOD 26-04 bis zum 26. Juni 2026.
Die Lücke ist besonders kritisch, weil sie OT-Geräte (Operational Technology) betrifft, die in industriellen Umgebungen serielle Schnittstellen (RS232/RS422/RS485) ins Netzwerk bringen. Ein erfolgreicher Angriff ermöglicht die vollständige Kompromittierung des Geräts mit Root-Rechten, laterale Bewegung im OT-Netzwerk, Manipulation industrieller Kommunikation und potenzielle Auswirkungen auf Verfügbarkeit und Sicherheit von Produktionsanlagen.
Technische Details für Admins
| Merkmal | Wert |
|---|---|
| CVE-ID | CVE-2025-67038 |
| CVSS-Score | 9.8 (Critical) |
| CVSS-Vektor | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Schwachstellentyp | Code Injection (CWE-94) |
| Betroffene Firmware | Lantronix EDS5000 Series, Firmware 2.1.0.0R3 |
| Betroffene Modelle | EDS5008, EDS5016 u.a. |
| Entdeckt von | Forescout Research Vedere Labs (April 2026) |
| CISA-Frist FCEB | 26. Juni 2026 |
Die Schwachstelle liegt im HTTP RPC Modul der Geräte. Bei fehlgeschlagener Authentifizierung führt das System einen Shell-Befehl aus, um Logs zu schreiben. Der Benutzername wird ohne jegliche Sanitisierung direkt mit dem Befehl konkateniert. Angreifer können beliebige OS-Befehle in das Username-Feld injizieren – diese werden mit Root-Privilegien ausgeführt.
Risiko für KMU und Betrieb
Die Lantronix EDS5000 Series wird häufig in industriellen Umgebungen eingesetzt, um ältere serielle Geräte (RS232/RS422/RS485) ins Netzwerk einzubinden. Typische Einsatzbereiche sind Produktionssteuerung, Gebäudeautomation, Energieversorgung und Logistik. In vielen KMU sind diese Geräte seit Jahren im Einsatz und werden selten aktualisiert.
Die BRIDGE:BREAK-Schwachstellenfamilie zeigt, dass Serial-to-IP-Konverter ein häufig übersehenes Sicherheitsrisiko darstellen. Diese Geräte sind oft direkt mit dem Internet verbunden oder über unzureichend segmentierte Netzwerke erreichbar. Ein erfolgreicher Angriff kann von der IT in die OT-Umgebung übergreifen und dort erheblichen Schaden anrichten.
Was Admins jetzt prüfen sollten
- Sofort patchen: Spielen Sie Updates gemäß Herstelleranweisungen von Lantronix ein. Prüfen Sie die Lantronix-Website auf verfügbare Patches.
- Netzwerksegmentierung prüfen: Stellen Sie sicher, dass OT-Netzwerke von IT-Netzwerken getrennt sind. Serial-to-IP-Konverter sollten nicht aus dem Internet erreichbar sein.
- Zugriffsbeschränkung: Die HTTP RPC-Schnittstelle sollte nicht dem Internet ausgesetzt sein. Nutzen Sie Firewall-Regeln, um den Zugriff auf vertrauenswürdige IP-Adressen zu beschränken.
- Monitoring aktivieren: Überwachen Sie auf ungewöhnliche Authentifizierungsversuche und Shell-Aktivitäten auf den Geräten.
- Bestandsaufnahme: Erfassen Sie alle Lantronix EDS5000-Geräte in Ihrem Netzwerk und prüfen Sie deren Firmware-Version.
Betriebscheck nach der Meldung
- Habe ich alle Lantronix EDS5000-Geräte in meinem Netzwerk erfasst?
- Sind alle Geräte auf dem aktuellen Patch-Stand?
- Sind die HTTP RPC-Schnittstellen vor dem Internet geschützt?
- Ist mein OT-Netzwerk ausreichend vom IT-Netzwerk segmentiert?
- Werden ungewöhnliche Authentifizierungsversuche überwacht?
Admin-Einschätzung
Die CVE-2025-67038 ist ein Paradebeispiel für die wachsende Bedrohung von OT-Geräten. Die Lücke ist technisch simpel (fehlende Input-Sanitisierung), aber die Auswirkungen sind gravierend (Root-Rechte auf OT-Geräten). Die Aufnahme in den CISA-KEV-Katalog und die aktive Ausnutzung zeigen, dass Angreifer gezielt nach solchen Schwachstellen suchen.
Für Admins bedeutet dies: OT-Sicherheit ist kein Nischenthema mehr. Geräte wie Serial-to-IP-Konverter müssen genauso streng verwaltet werden wie IT-Systeme. Patchmanagement, Netzwerksegmentierung und Monitoring sind auch in der OT-Umgebung unverzichtbar.
Passende Anleitungen auf S-EDV
- Netzwerksegmentierung für OT/IT-Sicherheit: Leitfaden für Admins – Grundlagen für die Trennung von OT- und IT-Netzwerken.
- Firewall-Regeln sicher konfigurieren: Best Practices für Admins – Sichere Firewall-Konfiguration für den Zugriffsschutz.
