Fuji Electric V-SFT: Out-of-bounds Read beim Öffnen einer manipulierten V7-Datei

Zusammenfassung

FUJI ELECTRIC V-SFT, ein Programmier- und Konfigurationswerkzeug für Bedienpanels (Human Machine Interfaces), enthält eine Schwachstelle durch Out-of-Bounds Read (CWE-125). Ein Angreifer, der einen Benutzer dazu bringt, eine speziell präparierte V7-Datei zu öffnen, kann Informationen offenlegen oder möglicherweise beliebigen Code auf dem Engineering-PC ausführen. Der CVE-Eintrag und JVN nennen unterschiedliche Funktionen für diese CVE (set_temp_type_default in VS6MemInIF bzw. CDataRomErrorCheck::MacroCommandCheck in VS6EditData), daher ist die genaue Fundstelle im Code nicht bestätigt.

Betroffen

• V-SFT-Versionen 0 bis 6.2.11.0 (CVE-Eintrag, JVN: V-SFT 6.2.11.0 und früher)
• Auch Kopien mit Hakko-Electronics-Branding sind als betroffen aufgeführt

Behoben in

• V-SFT-6 Ver.V6.2.12.0 (Verbesserungsinformation des Herstellers Nr. 26A0H18, veröffentlicht Oktober 2026)

Umgehung

Unbekannt.

• Keine V7-Projektdateien aus nicht vertrauenswürdigen Quellen öffnen
• Bis zur Aktualisierung einschränken, wer V7-Projektdateien öffnen darf

Ausnutzung

• Keine bekannte Ausnutzung (CISA SSVC: Exploitation none, nicht automatisierbar)
• Zum Zeitpunkt der Prüfung wurde kein öffentlicher Exploit gefunden

Unsere Empfehlung

• Alle V-SFT-Installationen und deren Versionen inventarisieren, inklusive Hakko-Kopien
• V-SFT auf Ver.V6.2.12.0 oder neuer aktualisieren, gemäss Herstellerinformation
• Bis zur Aktualisierung keine V7-Dateien aus unbekannten Quellen öffnen, etwa E-Mail-Anhänge, USB-Sticks oder Shared Folders
• Engineering-Arbeitsplätze vom Büronetz und vom allgemeinen Internetzugriff trennen
• Exposition prüfen: Der lokale Angriffsvektor und die nötige Benutzerinteraktion machen dies zu einer Priorität im mittleren bis hohen Bereich für Installationen auf Engineering-PCs

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fuji Electric: Improvement information V-SFT-6 Ver.V6.2.12.0 felib.fujielectric.co.jp
• JPCERT/CC JVNVU#96549652: Multiple vulnerabilities in FUJI ELECTRIC V-SFT jvn.jp
• VulDB entry for CVE-2026-107897 vuldb.com
• OpenCVE entry for CVE-2026-107897 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:04.