Satel Netco Design: Relative Path Traversal im Datenexport
Zusammenfassung
Satel Netco Design Versionen vor v2.1.7 enthalten eine Relative Path Traversal-Schwachstelle in der Datenexportfunktion. Ein authentifizierter Benutzer mit Viewer-Berechtigungen kann angreiferbeeinflussten Inhalt an Dateisystemorte schreiben, die für den Anwendungsdienst zugänglich sind. Dies kann zu unautorisierter Dateierstellung oder -änderung und unter bestimmten Bedingungen zu Remote Code Execution führen. Der CVSS-v4.0-Basiswert beträgt 8.7 (hoch).
Betroffen
- Satel Netco Design Versionen vor v2.1.7
Behoben in
- Satel Netco Design v2.1.7
Umgehung
- Kein Workaround des Herstellers bekannt.
- Allgemeine Massnahme: Steuerungssystemgeräte vom Internet fernhalten, mit Firewalls von Geschäftsnetzwerken trennen und bei Bedarf für den Fernzugriff ein gewartetes VPN verwenden.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- CISA meldet zum Zeitpunkt der Veröffentlichung keine bekannte öffentliche Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Satel Netco Design installiert ist und welche Version läuft.
- Nach Auswirkungsanalyse und Risikobeurteilung auf v2.1.7 oder neuer aktualisieren.
- Den Zugriff auf Viewer-Konten auf vertrauenswürdiges Personal beschränken und bestehende Konten überprüfen.
- Die Anwendung nicht dem Internet oder Geschäftsnetzwerken aussetzen; isolieren und Dateisystemänderungen sowie Exportaktivitäten überwachen.
- NVD- und Satel-Hinweise prüfen, bevor der Eintrag geschlossen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICSA-26-281-03 www.cisa.gov
- CISA CSAF file ICSA-26-281-03 (GitHub) github.com
- Positive Technologies PT-2026-108210 vulners.com
- Strix CVE-2026-101024 www.strix.ai
- Security Boulevard Daily OT Security News, 11 October 2026 securityboulevard.com
- Assurant summary of CISA ICSA-26-281-03 www.assurantcyber.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.