libIEC61850: Endlosschleife und Out-of-Bounds-Read im ACSE-Parser
Zusammenfassung
libIEC61850 ist eine Open-Source-Implementierung der Client- und Server-Protokolle von IEC 61850. In Versionen vor 1.6.2 verarbeitet der ACSE-Parser (parseUserInformation) ein abgeschnittenes Längenfeld in einer fehlerhaften AARE-PDU, die während des Associations-Aufbaus empfangen wird, nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dadurch eine Endlosschleife mit hoher CPU-Last oder einen Out-of-Bounds-Read von einem Byte auslösen, der den Prozess abbricht, wenn das vorangehende Byte nicht zugänglich ist. Relevant ist dies, wo ein mit der Bibliothek erstellter MMS-Server über das Netzwerk erreichbar ist.
Betroffen
- libIEC61850-Versionen vor 1.6.2 (CNA-Bereich: < 1.6.2)
- Hinweis: VulDB nennt bis 1.6.1, Mend nennt 1.6.0 bis 1.6.2; der CNA-Bereich wird als massgebend betrachtet.
- Versionen vor 1.6.0: Unbekannt.
Behoben in
- Version 1.6.2 (LIB61850-562, GHSA-f7xm-q62q-22cx)
- Es existiert eine spätere Version 1.6.2.1; ob diese für diese CVE allein erforderlich ist, ist unbekannt.
Umgehung
- Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
- Den Zugriff auf den MMS-/IEC-61850-Dienst (Port 102 ist der Standard für MMS über TCP) auf bekannte Clients beschränken, mittels Segmentierung und Firewall-Regeln.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: partiell.
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Öffentlicher Proof of Concept: Unbekannt (keine gezielte Suche durchgeführt).
- Die EPSS-Bewertung ist niedrig (0.00471 laut Vulners).
Unsere Empfehlung
- Ermitteln, wo libIEC61850 eingesetzt wird, insbesondere in Geräten (IEDs), Gateways und Software der Energiebranche.
- Bei Softwareherstellern ein Update auf libIEC61850 1.6.2 oder neuer anfordern.
- Prüfen, ob ein MMS-Server aus nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff einschränken.
- Abstürze oder hohe CPU-Last betroffener Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record mirror (Strix) www.strix.ai
- GitHub Security Advisory GHSA-f7xm-q62q-22cx github.com
- Fix commit 2edf2a1 github.com
- Release 1.6.2 notes github.com
- VulDB entry 421328 vuldb.com
- Vulners VulnRichment CVE-2026-68906 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:17.
Referenzen der NVD (4)
- https://github.com/mz-automation/libiec61850/commit/2edf2a12bf0ced6a2ac595862e3e873814983f7f
- https://github.com/mz-automation/libiec61850/releases/tag/v1.6.2
- https://github.com/mz-automation/libiec61850/security/advisories/GHSA-f7xm-q62q-22cx
- https://github.com/mz-automation/libiec61850/security/advisories/GHSA-f7xm-q62q-22cx
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.