SOEM: Speicherbeschädigung durch Integer-Unterlauf bei der Validierung der Nachrichtenlänge
Zusammenfassung
SOEM (Simple Open EtherCAT Master), eine Open-Source-Bibliothek für EtherCAT-Master, validiert Nachrichtenlängen nicht korrekt. Ein bösartiges oder kompromittiertes Gerät im selben EtherCAT-Netzwerk kann präparierte Nachrichten senden, die den Master veranlassen, ausserhalb des zugewiesenen Speichers zu schreiben. Dadurch kann der Speicher beschädigt und möglicherweise beliebiger Code auf dem Master-System ausgeführt werden. Eine Authentifizierung ist nicht erforderlich, der Angreifer muss sich aber im EtherCAT-Segment befinden.
Betroffen
- SOEM-Versionen vor 2.0.1 (CVE-Eintrag: 0 bis < 2.0.1; die CVE-Beschreibung nennt 2.0.0 und älter)
- Produkte, die SOEM einbetten: unbekannt, bei Maschinen- oder Software-Lieferanten nachfragen
Behoben in
- SOEM 2.0.1 (gemäss Herstellerhinweis RRTL-260921-01)
- Den Tag 2.0.1 im offiziellen GitHub-Repository überprüfen, da er zum Zeitpunkt der Recherche dort nicht bestätigt werden konnte
Umgehung
Unbekannt. Der CVE-Eintrag und der Herstellerhinweis nennen keine Workaround-Massnahme; das Aktualisieren auf SOEM 2.0.1 oder neuer ist die einzige genannte Massnahme.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
- EPSS unter 1 Prozent
- Eine Quelle zur Bedrohungsanalyse behauptet, es seien Angriffe beobachtet worden; dies konnte nicht verifiziert werden
Unsere Empfehlung
- Prüfen, ob installierte Maschinen, Steuerungen oder Softwarepakete SOEM enthalten
- Bei den Lieferanten betroffene Versionen und einen Patch-Plan anfordern und wo möglich SOEM 2.0.1 oder neuer einspielen
- Falls kein Patch möglich ist, einschränken, welche Geräte dem EtherCAT-Segment beitreten können
- Das EtherCAT-Segment von Office-IT-Netzwerken und dem Internet getrennt halten
- Das Segment auf unerwartete Geräte und Datenverkehr überwachen
- Hinweis: VulDB bewertet die Schwachstelle mit 7.3 und CWE-770, NVD mit 8.3; für die Planung den NVD-Wert verwenden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- RT-Labs advisory RRTL-260921-01 rt-labs.com
- OpenCVE: CVE-2026-70388 app.opencve.io
- Strix: CVE-2026-70388 www.strix.ai
- VulDB entry 426336 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- SOEM GitHub releases github.com
- RT-Labs: SOEM v2.0 major release rt-labs.com
- SOEM GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.