Fuji Electric V-SFT: Stack-based Buffer Overflow beim Öffnen einer V7-Datei
Zusammenfassung
Ein Stack-based Buffer Overflow (CWE-121) in V-SFT, einer Engineering-Software für Monitouch-HMI-Bildschirme, betrifft Versionen bis 6.2.11.0. Ein Angreifer, der einen Benutzer dazu bringt, eine präparierte V7-Datei zu öffnen, kann Informationen offenlegen oder beliebigen Code auf dem betroffenen System ausführen. Der Angriff erfolgt lokal und erfordert eine Benutzerinteraktion, daher liegt das Hauptrisiko bei Engineering-Arbeitsplätzen. Der NVD-Eintrag ist im Status Deferred, und der CVSS-4.0-Basiswert beträgt 8.4.
Betroffen
- V-SFT (FUJI ELECTRIC CO., LTD. / Hakko Electronics Co., Ltd.) Version 6.2.11.0 und früher
- Standardkonfiguration: laut CNA-Eintrag nicht betroffen
Behoben in
- Herstellerinformation zur Verbesserung für V-SFT-6 Ver. V6.2.12.0 (Nr. 26A0H18), auf die JVN verweist und die der Hersteller im Oktober 2026 veröffentlicht hat
- Die Herstellerwarnung wurde nicht unabhängig überprüft; vor der Bereitstellung prüfen
Umgehung
- Unbekannt. Der Hersteller hat in den geprüften Quellen keinen spezifischen Workaround veröffentlicht.
- V7-Projektdateien nur aus vertrauenswürdigen Quellen öffnen.
- Den Kreis der Personen einschränken, die Projektdateien auf Engineering-Arbeitsplätzen schreiben oder öffnen dürfen.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar
- Nicht in der CISA-KEV-Liste enthalten
- OffSeq meldet keine bekannte Ausnutzung
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Alle V-SFT-Installationen und deren Versionen inventarisieren.
- V-SFT nach Prüfung der Herstellerwarnung auf Ver. V6.2.12.0 oder neuer aktualisieren.
- Bis zur Aktualisierung V7-Dateien nur aus vertrauenswürdigen Quellen öffnen und V-SFT nicht auf Systemen mit Internetzugang betreiben.
- Dateizugriff und Administratorrechte auf Engineering-Arbeitsplätzen einschränken und diese auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fuji Electric: Improvement information V-SFT-6 Ver.V6.2.12.0 felib.fujielectric.co.jp
- JVN: JVNVU#96549652 Multiple vulnerabilities in FUJI ELECTRIC V-SFT jvn.jp
- VulDB: CVE-2026-107894 vuldb.com
- OpenCVE: CVE-2026-107894 app.opencve.io
- OffSeq Radar: CVE-2026-107894 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.