V-SFT: Out-of-Bounds-Read in CheckSymbolMacroParam beim Öffnen von V7-Dateien
Zusammenfassung
V-SFT, die HMI-Software zur Bildschirmerstellung von Fuji Electric und Hakko Electronics, enthält einen Out-of-Bounds-Read in der Komponente VS6EditData (CDataRomErrorCheck::CheckSymbolMacroParam). Ein Angreifer kann dies ausnutzen, indem er einen Benutzer dazu bringt, eine speziell präparierte V7-Datei zu öffnen; dabei können Informationen offengelegt werden oder beliebiger Code auf dem Engineering-Arbeitsplatz ausgeführt werden. Es ist kein Netzwerkzugriff nötig, wohl aber eine Interaktion des Benutzers. Der CVSS-Wert ist in den Quellen umstritten, weshalb für die Priorisierung der Vektor herangezogen werden sollte.
Betroffen
- V-SFT Versionen 0 bis einschliesslich 6.2.11.0
Behoben in
- Die Verbesserungsinformation des Herstellers für V-SFT-6 Ver. 6.2.12.0 (Nr. 26A0H18) wird im JVN referenziert. Die korrigierte Version vor dem Einsatz auf der Herstellerseite überprüfen.
Umgehung
Unbekannt. Der CVE-Eintrag und die Herstellerseite nennen keinen Workaround. Als Übergangsmassnahme keine unbekannten oder unerwarteten V7-Dateien in betroffenen Versionen öffnen.
Ausnutzung
- Nicht im CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob V-SFT eingesetzt wird und welche genaue Version installiert ist.
- Nach Überprüfung auf die korrigierte Version aktualisieren, die in der Herstellermeldung genannt ist.
- Bis zur Korrektur V7-Projektdateien nur aus vertrauenswürdigen Quellen annehmen und vor dem Öffnen prüfen oder in Quarantäne geben.
- Engineering-Arbeitsplätze mit minimalen Rechten betreiben und von allgemeinem Webzugriff und E-Mail fernhalten.
- Herstellermeldung, JVN sowie den Status in NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fuji Electric: Improvement information V-SFT-6 Ver. V6.2.12.0 felib.fujielectric.co.jp
- JVN: JVNVU#96549652 Multiple vulnerabilities in FUJI ELECTRIC V-SFT jvn.jp
- OpenCVE: CVE-2026-107899 app.opencve.io
- OffSeq Radar: CVE-2026-107899 radar.offseq.com
- Strix AI: CVE-2026-107899 www.strix.ai
- VulDB: CVE-2026-107899 score entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.