RT-Labs SOEM: Pufferueberlauf beim mehrteiligen CoE-SDO-Upload
Zusammenfassung
RT-Labs SOEM, eine Bibliothek fuer EtherCAT-MainDevices in eingebetteten und industriellen Systemen, enthaelt einen Pufferueberlauf bei der Verarbeitung mehrteiliger Datenuebertragungen. Die Gesamtgr"osse wird nur einmal zu Beginn geprueft, daher kann ein boesartiges EtherCAT-Geraet eine kleine Grösse angeben und danach weitere Segmente senden, die ausserhalb des zugewiesenen Puffers schreiben. Bei erfolgreicher Ausnutzung kann Code im Prozess ausgefuehrt werden, der den Master betreibt. Der Angreifer muss sich im EtherCAT- oder lokalen Maschinennetz befinden und als boesartiges Geraet auftreten.
Betroffen
- SOEM-Versionen 0 bis vor 2.0.1 (CVE-Eintrag: betroffen 0 bis < 2.0.1)
- SOEM 2.0.0 und frueher gemaess der Schwachstellenbeschreibung
- Produkte oder Maschinensoftware, die eine verwundbare SOEM-Version einbetten
Behoben in
- Aktualisierung auf SOEM 2.0.1 oder neuer (gemaess den Daten des CVE-Eintrags; die korrigierte Version in der Herstellerwarnung RRTL-260921-01 bestaetigen)
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Die Aktualisierung ist die empfohlene Massnahme.
- Bis die korrigierte Version eingesetzt ist: EtherCAT-Feldbus in einem segmentierten Netz betreiben, nur bekannte Slave-Geraete zulassen und physischen Zugriff sowie Zugriff auf Switch-Ports im Maschinennetz einschraenken.
Ausnutzung
- Keine bekannte Ausnutzung (nicht im CISA-KEV-Katalog; OffSeq meldet keine bekannte Ausnutzung).
- Kein oeffentlicher Proof of Concept gefunden.
- EPSS unter 1 Prozent (sehr geringe prognostizierte Wahrscheinlichkeit).
- Der Angriff erfordert Zugriff aus dem angrenzenden Netz und das Auftreten als boesartiges EtherCAT-Geraet.
Unsere Empfehlung
- Pruefen, ob SOEM direkt oder eingebettet in Maschinen- oder Integratorsoftware eingesetzt wird, und bei Lieferanten nach der ausgelieferten SOEM-Version fragen.
- Die Aktualisierung auf SOEM 2.0.1 oder neuer im normalen Wartungszyklus planen, nachdem die korrigierte Version in der Herstellerwarnung bestaetigt wurde.
- Pruefen, ob das EtherCAT-Netz segmentiert ist und nur bekannte Slave-Geraete angeschlossen sind.
- Priorisierung fuer OT- und Industrieumgebungen mit EtherCAT; reine IT-Netze ohne EtherCAT haben eine niedrige Prioritaet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- RT-Labs advisory RRTL-260921-01 rt-labs.com
- OpenCVE: CVE-2026-82944 app.opencve.io
- VulDB: CVE-2026-82944 vuldb.com
- OffSeq Radar: CVE-2026-82944 radar.offseq.com
- INCIBE-CERT: CVE-2026-82944 www.incibe.es
- SOEM GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.