Kritische Out-of-Bounds-Read-Schwachstelle in Siemens Solid Edge (CVE-2026-0001)

Siemens Solid Edge: Kritische Schwachstelle ermöglicht Angriffe durch manipulierte Dateien

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine kritische Sicherheitslücke in Siemens Solid Edge, einer weit verbreiteten Computer-Aided-Design (CAD)-Software, veröffentlicht. Die Schwachstelle mit der Bezeichnung CVE-2026-0001 beruht auf einem Out-of-Bounds-Read-Fehler im PS/IGES Parasolid Translator Component, der bei der Verarbeitung von Dateien im IGS-Format ausgenutzt werden kann.

Technische Details

• CVE-ID: CVE-2026-0001
• Betroffene Komponente: PS/IGES Parasolid Translator (für die Parsing von IGS-Dateien)
• Schwachstellentyp: Out-of-Bounds Read
• Angriffsvektor: Manipulierte IGS-Dateien, verbreitet über Phishing oder File-Sharing
• Auswirkung: Mögliche Ausführung von beliebigem Code oder Absturz der Anwendung bei Öffnen einer präparierten Datei

Die Schwachstelle tritt auf, wenn Solid Edge speziell manipulierte IGS-Dateien verarbeitet, wodurch Angreifer Speicherkorruption auslösen können. Obwohl der genaue Exploit-Mechanismus in CISAs Advisory nicht detailliert beschrieben wird, können Out-of-Bounds-Read-Fehler häufig zu Informationspreisgabe, Codeausführung oder Denial-of-Service (DoS)-Zuständen führen, wenn sie erfolgreich ausgenutzt werden.

Auswirkungsanalyse

Organisationen, die Siemens Solid Edge für industrielle Design-, Fertigungs- oder Ingenieursprozesse nutzen, sind gefährdet. Ein Angreifer könnte:

• Manipulierte IGS-Dateien über Phishing-E-Mails, kompromittierte File-Sharing-Plattformen oder Supply-Chain-Angriffe verbreiten.
• Die Schwachstelle ausnutzen, um beliebigen Code im Kontext der betroffenen Anwendung auszuführen und so unbefugten Zugriff auf sensible Designdaten zu erlangen.
• Betriebsabläufe stören, indem die Anwendung zum Absturz gebracht wird, was zu Produktivitätsverlusten in CAD-abhängigen Umgebungen führt.

Da die Software häufig in Industrial-Control-Systemen (ICS) und Operational-Technology (OT)-Umgebungen eingesetzt wird, könnte diese Schwachstelle kaskadierende Auswirkungen auf kritische Infrastrukturbereiche haben.

Empfehlungen für Sicherheitsteams

1. Siemens-Patch anwenden: Siemens hat Updates veröffentlicht, die diese Schwachstelle beheben. Organisationen sollten:

   • Die neueste Version von Solid Edge vom offiziellen Siemens-Support-Portal herunterladen und installieren.
   • Die Sicherheitshinweise von Siemens für weitere Anleitungen zur Risikominderung befolgen.

2. Dateihandhabung einschränken:

   • Die Nutzung von IGS-Dateien aus nicht vertrauenswürdigen Quellen einschränken.
   • Sandboxing oder Application Whitelisting implementieren, um die Ausführung von Solid Edge in Hochrisiko-Umgebungen zu beschränken.

3. Schulung zur Sensibilisierung der Nutzer:

   • Mitarbeiter über die Risiken beim Öffnen unerwarteter CAD-Dateien aufklären, selbst wenn diese von scheinbar legitimen Quellen stammen.
   • Phishing-resistente Authentifizierung (z. B. Multi-Faktor-Authentifizierung, MFA) betonen, um das Risiko von Credential-Diebstahl zu verringern, der Datei-basierte Angriffe ermöglicht.

4. Überwachung auf Exploit-Versuche:

   • Endpoint Detection and Response (EDR)-Lösungen einsetzen, um anomalen Verhalten in Solid-Edge-Prozessen zu erkennen.
   • Protokolle auf unerwartete Abstürze oder Dateizugriffsmuster überprüfen, die auf Exploit-Versuche hindeuten könnten.

5. Netzwerksegmentierung:

   • Systeme, auf denen Solid Edge läuft, von kritischen OT-Netzwerken isolieren, um laterale Bewegungen im Falle einer Kompromittierung zu begrenzen.

CISAs Advisory (ICSA-26-043-05) enthält weitere technische Details und sollte von Sicherheitsteams, die Siemens Solid Edge einsetzen, eingesehen werden.

Für aktuelle Informationen beachten Sie die Seiten von Siemens ProductCERT und CISAs ICS Advisories.