Siemens .NET Client Library for SIMATIC S7 Webserver API: Path Traversal beim Ticket-Download

Zusammenfassung

Die .NET Client Library for SIMATIC S7 Webserver API validiert Dateinamen, die während eines Ticket-Downloads von Remote-Servern empfangen werden, nicht korrekt. Ein Angreifer, der die Ticket-Antwort manipulieren kann, kann beliebige Dateien ausserhalb des vorgesehenen Download-Verzeichnisses schreiben und, sofern Überschreiben aktiviert ist, bestehende, für die Anwendung zugängliche Dateien ersetzen. Der Angriff setzt voraus, dass die Serverantwort manipuliert werden kann, zum Beispiel über eine Man-in-the-Middle-Position oder einen kompromittierten Server. Die Bibliothek ist eine Entwicklerkomponente für kundenspezifische Software und nicht Teil der SPS selbst.

Betroffen

• Siemens .NET Client Library for SIMATIC S7 Webserver API (Paket Siemens.Simatic.S7.Webserver.API), alle Versionen unterhalb V3.3.61
• Versionsumfang von CVE-2026-85114 gemäss Siemens-Advisory: alle Versionen unterhalb V3.3.61; die CISA-Liste enthält zusätzlich einen Eintrag <3.3.62, der sowohl CVE-2026-85114 als auch CVE-2026-85115 zugeordnet ist, daher beim Hersteller prüfen

Behoben in

• Aktualisierung auf V3.3.61 oder neuer; V3.3.62 oder neuer wird empfohlen, da diese Version beide Lesarten des Versionsumfangs abdeckt

Umgehung

• Unbekannt. Von Siemens ist keine offizielle Zwischenlösung dokumentiert.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Laut den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Siemens-SSVC-Bewertung (CISA-Eintrag): Exploitation none, automatable yes, technical impact partial.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Alle Anwendungen inventarisieren, die das Paket Siemens.Simatic.S7.Webserver.API referenzieren, einschliesslich Hersteller- und Eigenentwicklungen.
• Auf V3.3.62 oder neuer aktualisieren, anschliessend die betroffenen Anwendungen neu bauen und ausrollen.
• Bis zur Behebung die Quellen für Ticket-Downloads auf vertrauenswürdige, authentifizierte Endpunkte beschränken und die Anwendung mit minimalen Rechten sowie einem dedizierten Download-Verzeichnis betreiben (eigene Empfehlung, nicht von Siemens).
• Das Siemens-Advisory SSA-390352 und den CISA-KEV-Katalog auf Änderungen überwachen.
• Priorität: mittel für Organisationen, die solche Software betreiben, sonst niedrig. Ein reiner SPS-Webserver ist von dieser Bibliothek nicht betroffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Siemens ProductCERT SSA-390352 cert-portal.siemens.com
• CISA ICS Advisory ICSA-26-295-10 www.cisa.gov
• Siemens SIMATIC S7 Webserver API GitHub repository github.com
• CVE-2026-85114 at threatint cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:34.