Der Exploit zielte auf CVE-2021-31886 ab, einen seit Jahren bekannten stapelbasierten Pufferüberlauf im FTP-Server des Echtzeitbetriebssystems Nucleus.
Claude passte die ursprünglich für ein anderes Modell genutzte USER- und QUIT-Befehlssequenz in eine USER- und CWD-Sequenz an und ließ dabei den CRLF-Abschluss weg, sodass der Puffer lange genug erhalten blieb, um die Schadroutine auszuführen.
Siemens, das Nucleus pflegt, stellt in seiner Sicherheitsmeldung klar, dass für Nucleus NET über alle Versionen hinweg keine Fehlerbehebung geplant ist.
Lediglich die ReadyStart-V3-Releases ab Version V2013.08.1 enthalten bereits einen Fix für die zugrundeliegende Schwachstelle CVE-2021-31886.
Forescout Research und Vedere Labs haben Anthropic's Claude genutzt, um einen funktionierenden Pre-Auth-RCE-Exploit von einem WAGO-PLC-Modell auf ein anderes zu portieren.
Das Experiment unterstreicht, dass Angreifer mit generativer KI selbst für Nischenhardware schneller funktionierende Exploits entwickeln können, während Hersteller oft keine Patches für veraltete Firmware-Komponenten bereitstellen.
Betroffen sind vor allem industrielle Umgebungen, in denen die betroffenen Controller und das Nucleus-NET-Betriebssystem ohne Netzwerksegmentierung oder zusätzliche Schutzmaßnahmen eingesetzt werden.
Der Fall verdeutlicht eine wachsende Diskrepanz zwischen der Geschwindigkeit KI-gestützter Angriffsforschung und den langen Patch-Zyklen im Bereich der Operational Technology.
Während die Forscher ihre Methode offenlegten, um für das Problem zu sensibilisieren, bleibt die Verantwortung für die Absicherung der Systeme bei den Betreibern.