Aanvallers misbruiken lek in Node-RED om bots en backdoors te installeren
Aanvallers maken op dit moment misbruik van een kwetsbaarheid in Node-RED, software die ook in industriële systemen zit. Met één HTTP-verzoek kunnen ze op een server die niet met een wachtwoord is afgeschermd commando’s laten uitvoeren. Beveiligingsbedrijf VulnCheck zag dit op 30 oktober 2026 bij een van zijn honeypots. De kwetsbaarheid (CVE-2026-58115) zit in de beheer-API van Node-RED.
Het lek is ontdekt door securitybedrijf VulnCheck. Node-RED is een programmeeromgeving waarin gebruikers via een browser stromen (flows) aan elkaar koppelen om gebeurtenisgestuurde toepassingen te bouwen. Het programma draait op Node.js, werkt op apparaten als de Raspberry Pi en in de cloud, en wordt gebruikt in onder meer de maakindustrie, energiebedrijven, de zorg en de landbouw.
De kwetsbaarheid treft de SIMATIC IoT2050 Advanced Gateway van Siemens. Emerson noemt eveneens het gebruik van Node-RED in zijn documentatie, al heeft VulnCheck niet kunnen vaststellen of producten van dat bedrijf door dit lek worden geraakt.
Zonder inloggen toegang tot nodes
Het lek geeft zonder inloggen toegang tot nodes waarmee systeemcommando’s kunnen worden uitgevoerd. De aanvaller stuurde één POST-verzoek naar het adres /flows, afkomstig van curl versie 8.5.0. Daarin zat een flow met drie onderdelen: een lege tab, een inject-node die na een seconde één keer afgaat en een exec-node die een shellcommando uitvoert. Zodra de flow is geladen, draait het commando dus zonder verdere handelingen. Het lokaassysteem antwoordde met HTTP 200 en een nieuwe revisiehash, zoals een kwetsbare installatie zou doen. Daarom telde VulnCheck de gebeurtenis als geslaagde aanval.
Het commando was in base64 gecodeerd en werd via base64 -d doorgegeven aan sh, zodat een filter die in het verzoek naar wget of curl zoekt het niet zou zien. Na decodering bleek het een downloadscript te zijn. Dat haalt met wget, of anders met curl, een bestand met de naam bot-linux-amd64 op van poort 8080 van de server 85.215.73[.]250. Het bestand wordt opgeslagen als /dev/shm/.b, in het werkgeheugen, en met een verborgen bestandsnaam. Daarna wordt het uitvoerbaar gemaakt en losgekoppeld van het Node-RED-proces gestart. Het script controleert niet of de download is gelukt en ruimt niets op. Omdat het geheugen bij een herstart wordt gewist verdwijnt het bestand dan, tenzij de bot zelf voor persistentie zorgt.
Afzender zit in het netwerk van Microsoft
Het verzoek kwam van 4.201.105[.]116, een adres binnen het AS8075-netwerk van Microsoft, dat naar Brazilië kan worden teruggeleid. Tussen 30 oktober en 1 november registreerde VulnCheck 16 events vanaf dit adres gerelateerd aan het lek. In de bredere meetgegevens staat het adres de afgelopen dagen op 125 treffers tegen acht kwetsbaarheden, onder meer in Apache Solr, Camunda, Gitea, MLflow, Traefik en Joomla. Bij ten minste één van die pogingen werd een ander downloadscript afgeleverd dat naar een andere server verwees.
Meer informatie is beschikbaar in de volledige analyse van VulnCheck.
Meer over Security
Over Wouter Hoeffnagel
