Siemens Simcenter Femap e Nastran Vulneráveis a Exploits de Análise de Arquivos (ICSA-26-048-01)

Siemens Simcenter Femap e Nastran Afetados por Falhas Críticas de Análise de Arquivos

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um comunicado (ICSA-26-048-01) alertando sobre múltiplas vulnerabilidades de análise de arquivos nos softwares Siemens Simcenter Femap e Simcenter Nastran, utilizados amplamente em setores industriais e aeroespaciais. Essas falhas podem permitir a execução remota de código (RCE) caso um usuário seja induzido a abrir um arquivo especialmente criado nos formatos NDB ou XDB.

Detalhes Técnicos

As vulnerabilidades decorrem de uma validação inadequada de entrada durante operações de análise de arquivos. Quando exploradas, arquivos maliciosos NDB (Nastran Database) ou XDB (External Database) podem desencadear corrupção de memória, levando à execução arbitrária de código no contexto da aplicação afetada. A Siemens ainda não divulgou IDs de CVE específicos para essas falhas, mas o comunicado indica que elas estão sendo rastreadas sob a designação mais ampla ICSA-26-048-01.

Versões afetadas incluem:

• Simcenter Femap (todas as versões anteriores à V2024.1)
• Simcenter Nastran (todas as versões anteriores à V2024.1)

Análise de Impacto

A exploração bem-sucedida requer interação do usuário (por exemplo, abrir um arquivo malicioso via phishing ou cadeias de suprimentos comprometidas). No entanto, considerando o uso do software em infraestruturas críticas — como aeroespacial, automotivo e defesa — essas falhas representam um alto risco para:

• Execução remota de código com privilégios da aplicação
• Exfiltração de dados ou sabotagem de simulações de engenharia
• Movimentação lateral em redes OT/IT se combinadas com outros exploits

Mitigação e Recomendações

A Siemens lançou patches para ambos os produtos. As organizações devem:

1. Atualizar imediatamente para Simcenter Femap/Nastran V2024.1 ou versões posteriores.
2. Restringir o acesso a arquivos apenas a fontes confiáveis, especialmente para formatos NDB/XDB.
3. Treinar usuários para reconhecer tentativas de phishing direcionadas a fluxos de trabalho de engenharia.
4. Monitorar sistemas em busca de execução incomum de arquivos ou eventos de corrupção de memória.

Para detalhes técnicos completos, consulte o comunicado da CISA ou o arquivo JSON CSAF.

Este comunicado destaca a crescente ameaça a softwares especializados de engenharia, que são cada vez mais alvos de ameaças persistentes avançadas (APTs).