Cyber Security: Lenze PLC Designer V4 with insecure storage of sensitive information
Behoben ab:
PLC Designer V4.0.1
Verhalten der neuen Version:
Auch nach
dem Ausloggen wird das Passwort weiterhin mit * versteckt und nicht im Klartext
angezeigt.
Quelle: Lenze SE
Datum der Verfügbarkeit: 20.06.2025
Verweis auf offizielles Advisory Cert@VDE:
Weiterführende Informationen zu 'Lenze PLC Designer V4 with insecure storage of sensitive information' finden Sie im Advisory 'VDE-2025-043'.
Installation des Patches:
Installieren Sie die
aktuelle Version zum PLC Designer V4. Beachten Sie die
Installationsbeschreibung im entsprechenden Download AKB Artikel.
Abhängigkeiten:
Die Installation des
PLC Designer V4.0.1 ist abhängig vom verwendeten Windows-Betriebssystem.
Beachten Sie die Systemvoraussetzungen im Download AKB Artikel.
Verwendungsnachweis:
Prüfen Sie die
installierte Version im PLC Designer – siehe Menü ‚Hilfe‘à‘Über‘.
Risiken, wenn der Patch nicht angewendet wird:
Details
zu den Risiken finden Sie im Abschnitt ‚Impact‘ des offiziellen Advisory.
Beschreibung des Verhaltens:
Das
eingegebene GDS Passwort in Parameter 0x2471:158 ist lesbar.
Bedingungen unter denen das Verhalten auftritt:
Das oben beschriebene Verhalten tritt auf, wenn Online das GDS Passwort
gesetzt wird. Online wird das Passwort durch Anzeige von * versteckt. Nach dem
Ausloggen (offline) wird das Passwort in Klartext angezeigt.
Betroffene Produkte:
PLC Designer V4.0.0
Kurzfristige Maßnahme, Empfehlungen, Bewertung:
Verwenden Sie die PLC Designer Version 4.0.1
oder höher.
