EcoStruxure Power Build Rapsody: Use-after-free über manipulierte Projektdatei

Zusammenfassung

Schneider Electric EcoStruxure Power Build Rapsody, eine Software für die Planung von Schaltanlagen und die Stücklistenerstellung, enthält eine Use-after-free-Schwachstelle (CWE-416). Ein lokaler Angreifer, der einen Benutzer dazu bringt, eine speziell präparierte Datei zu öffnen, könnte beliebigen Code auf dem Engineering-Arbeitsplatz ausführen. Der Angriff erfordert eine Benutzerinteraktion und keine Berechtigungen, das Produkt ist nicht netzwerkexponiert.

Betroffen

• EcoStruxure Power Build Rapsody FR-V2.9.1.0 und früher
• ESP-V2.8.5.0301 und früher
• PT-V2.8.7.0101 und früher
• BEL(FR)-V2.8.8.0201 und früher
• BEL(EN)-V2.8.3.0201 und früher
• INT(EN)-V2.8.4.0401 und früher
• INT(FR)-V2.8.6.0000 und früher
• NL-V2.8.2.0000 und früher

Gemäss Advisory gelten nur Versionen, die noch unterstützt sind oder sich in der Garantie befinden, als betroffen.

Behoben in

• FR V2.9.12.0101 (gemäss Sekundärquelle, im Advisory prüfen)
• ESP V2.9.5.0000 (gemäss Sekundärquelle, im Advisory prüfen)
• PT V2.9.7.0000 (gemäss Sekundärquelle, im Advisory prüfen)
• BEL(FR) V2.9.8.0000 (gemäss Sekundärquelle, im Advisory prüfen)
• BEL(EN) V2.9.3.0000 (gemäss Sekundärquelle, im Advisory prüfen)
• INT(EN): Unbekannt.
• INT(FR): Unbekannt.
• NL: Unbekannt.

Gemäss Advisory steht für Schneider Electric eine Korrektur zum Download bereit.

Umgehung

Unbekannt. Temporäre Massnahmen von Schneider Electric für nicht gepatchte Versionen konnten nicht bestätigt werden.

• Projektdateien aus unbekannten oder nicht vertrauenswürdigen Quellen nicht auf Engineering-Arbeitsplätzen öffnen.
• Den Zugriff auf Projektdateien einschränken und gespeicherte Projektdateien verschlüsseln (allgemein bewährte Praxis, basierend auf früheren Rapsody-Advisories).

Ausnutzung

• Im Advisory wird keine Ausnutzung gemeldet.
• Stand 11. November 2026 sind weder ein Eintrag im CISA-KEV-Katalog noch öffentlicher Exploit-Code bekannt (OffSeq, VulDB).

Unsere Empfehlung

• Alle Rapsody-Installationen inventarisieren und die regionale Edition sowie die vollständige Version erfassen.
• Auf die im Advisory genannten korrigierten Versionen aktualisieren, mit Priorität auf FR, ESP, PT, BEL und INT. Die Korrekturen für INT(EN), INT(FR) und NL direkt bei Schneider Electric bestätigen.
• Bis zur Aktualisierung den Zugriff auf Projektdateien einschränken und nicht vertrauenswürdige Dateien vermeiden.
• Das Advisory SEVD-2026-314-01 und den NVD-Eintrag auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Schneider Electric Security Notification SEVD-2026-314-01 download.schneider-electric.com
• CVE Record CVE-2026-119055 www.cve.org
• Security Boulevard Daily OT Security News, 11 Nov 2026 securityboulevard.com
• VulDB CVE-2026-119055 vuldb.com
• OffSeq Threat Radar: Use-after-free in EcoStruxure Power Build Rapsody radar.offseq.com
• Schneider Electric Security Notifications www.se.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:02.