Betroffen ist die Funktion zur Delegation von Operationen im Eclipse BaSyx Java Server SDK, einer Server-Software für digitale Zwillinge und Verwaltungsschalen in Industrieumgebungen. Die Schwachstelle liegt in einem Konstruktionsfehler: Die Zieladresse, an die eine delegierte Anfrage weitergereicht wird, wird nicht geprüft. Dadurch kann ein Angreifer aus der Ferne und ohne jede Anmeldung den Server dazu bringen, HTTP-POST-Anfragen an beliebige Ziele zu senden – sowohl innerhalb des internen Netzes als auch nach außen. Die Antworten sieht der Angreifer dabei nicht, er nutzt den Server also als „blindes" Sprungbrett. Auf diesem Weg lässt sich eine Netzwerksegmentierung umgehen: Der Server erreicht abgeschottete interne IT- und OT-Systeme, die von außen eigentlich nicht ansprechbar sind. Ebenso können Metadatendienste von Cloud-Umgebungen angesprochen werden, über die sich unter Umständen Zugangsinformationen abgreifen lassen.