Fuji Electric V-SFT: Out-of-Bounds Read beim Öffnen einer präparierten V7-Datei
Zusammenfassung
Fuji Electric V-SFT bis Version 6.2.11.0 enthält einen Out-of-Bounds Read in der Prüfung von V7-Dateien (VS6ComFile, CCheck::ItemCheck). Öffnet ein Benutzer eine speziell präparierte V7-Datei, kann ein Angreifer Informationen offenlegen oder laut der herstellerbezogenen Beschreibung beliebigen Code auf dem betroffenen System ausführen. Die Quellen beschreiben nur dateibasierte Angriffswege lokal und keine Erreichbarkeit aus dem Internet.
Betroffen
- V-SFT 0 bis 6.2.11.0 (CVE-Eintrag und JVN)
Behoben in
- Verbesserungsinformation des Herstellers für V-SFT-6 Ver. 6.2.12.0 (Nr. 26A0H18), veröffentlicht im Oktober 2026. Die Herstellermitteilung muss bestätigen, dass diese Version CVE-2026-107900 behebt.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- V7-Projektdateien nur aus vertrauenswürdigen Quellen öffnen.
- V-SFT nicht auf allgemein genutzten PCs und E-Mail-Clients betreiben.
- Die Berechtigung zur Installation und Ausführung von V-SFT einschränken.
- Auf Engineering-Workstations Anwendungs-Allowlisting einsetzen und das Öffnen von Dateien protokollieren.
- Diese Übergangsmassnahmen sind Empfehlungen und keine Herstellerangaben.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Nicht im CISA-KEV-Katalog aufgeführt.
- VulDB: kein Exploit verfügbar. EPSS 0.00127.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle Systeme mit V-SFT 6.2.11.0 oder älter identifizieren.
- V-SFT 6.2.12.0 oder neuer beim Hersteller oder beim Integrator beziehen und das Update planen, nachdem die Behebung in der Herstellermitteilung bestätigt ist.
- Bis zur Behebung die Übergangsmassnahmen umsetzen und Projektdateien nur aus vertrauenswürdigen Quellen öffnen.
- Prüfen, ob dieselbe Behebung die verwandten CVE-2026-107894 bis CVE-2026-107899 abdeckt.
- Priorität: mittel; höher auf Engineering-Laptops, die auch E-Mails oder externe Projektdateien verarbeiten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fuji Electric advisory (V-SFT-6 Ver. 6.2.12.0) felib.fujielectric.co.jp
- JVN JVNVU#96549652 jvn.jp
- VulDB CVE-2026-107900 vuldb.com
- VulDB 426329 vuldb.com
- CNNVD mirror via Vulners vulners.com
- OpenCVE CVE-2026-107900 app.opencve.io
- OffSeq CVE-2026-107900 radar.offseq.com
- Strix CVE-2026-107900 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.