Siemens Parasolid: Eine Schwachstelle in X_T-Dateien kann zur Codeausführung führen

Der Fehler betrifft die Analyse von CAD-Dateien

Siemens hat eine Schwachstelle mit hohem Schweregrad in Parasolid behoben, einer Komponente zur Verarbeitung geometrischer Modelle und CAD-Dateien. Das Problem tritt beim Einlesen speziell präparierter Dateien im X_T-Format auf.

Die als CVE-2026-64629 identifizierte Schwachstelle ist als CWE-125 eingestuft, also als Lesen außerhalb der Speichergrenzen (out-of-bounds read). Eine speziell erstellte Datei kann einen Absturz der Anwendung verursachen oder unter bestimmten Bedingungen die Ausführung beliebigen Codes ermöglichen.

Das Siemens-ProductCERT-Advisory wurde am 11. August 2026 veröffentlicht. CISA veröffentlichte es am 13. August 2026 erneut und erhöhte damit die Sichtbarkeit der Warnung im Umfeld industrieller Systeme. Das Produkt ist dem Bereich Critical Manufacturing zugeordnet und wird weltweit eingesetzt.

Betroffene Versionen und korrigierte Releases

Als verwundbar gelten folgende Versionen:

• Siemens Parasolid V38.0 vor V38.0.235;
• Siemens Parasolid V38.1 vor V38.1.230.

Die Versionen V38.0.235 und V38.1.230 markieren laut Siemens die Schwellen, ab denen die betroffenen Entwicklungszweige verlassen werden. Der Hersteller empfiehlt dennoch, das jeweils neueste verfügbare Release zu installieren und sich nicht zwingend auf diese Mindestversionen zu beschränken.

Der Produktstatus ist als known_affected eingestuft. Es handelt sich daher nicht lediglich um eine theoretische Möglichkeit bei nicht näher bezeichneten Komponenten: Das Advisory ordnet den Fehler ausdrücklich den beiden genannten Parasolid-Versionzweigen zu.

Weitere betroffene Versionen wurden im Rahmen des Advisories nicht genannt.

Wie die Schwachstelle ausgenutzt werden kann

Der Fehler entsteht, wenn Parasolid eine vom Angreifer vorbereitete X_T-Datei interpretiert. Während der Verarbeitung kann die Komponente Daten außerhalb des vorgesehenen Speicherbereichs lesen und dadurch auf Informationen zugreifen, die nicht zum gültigen Puffer gehören.

Die unmittelbarste Folge ist ein Absturz der Anwendung. In einem schwerwiegenderen Szenario kann die Manipulation des Speichers dazu genutzt werden, beliebigen Code im Prozess auszuführen, der die Datei verarbeitet.

Die CVSS-3.1-Bewertung beträgt 7,8 mit dem Schweregrad HIGH und folgendem Vektor:

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Die Bewertung beschreibt einen Angriff, der lokalen Zugriff auf das System erfordert, jedoch keine vorherigen Berechtigungen voraussetzt. Die Komplexität ist gering; erforderlich ist die Interaktion eines Benutzers, etwa durch das Öffnen, Importieren oder Verarbeiten einer schädlichen X_T-Datei.

Die potenziellen Auswirkungen sind auf alle drei zentralen Schutzziele der Informationssicherheit erheblich:

• Vertraulichkeit, da der Prozess auf Daten in seinem Ausführungskontext zugreifen könnte;
• Integrität, da der ausgeführte Code Dateien, Konfigurationen oder Verarbeitungsergebnisse verändern könnte;
• Verfügbarkeit, da die Anwendung oder das System blockiert werden könnte.

Der Scope bleibt unverändert: Der Angriff erfolgt im Kontext des verwundbaren Prozesses. Die tatsächliche Reichweite hängt daher von den Berechtigungen der Anwendung und der Umgebung ab, in der sie ausgeführt wird.

Wer gefährdet ist und warum das X_T-Format relevant ist

Besonders gefährdet sind Workstations und industrielle Systeme, die Parasolid-Modelle im X_T-Format empfangen, importieren oder konvertieren. Eine scheinbar gewöhnliche Datei kann zum Angriffsmittel werden, wenn sie aus einer nicht verifizierten Quelle stammt oder über unkontrollierte Kanäle ausgetauscht wird.

In einer Konstruktionsumgebung kann das Öffnen der Datei die Arbeitsstation des Bedieners kompromittieren. Ist Parasolid in eine Anwendung integriert, die Zugriff auf technische Repositories, Produktionssysteme oder Netzwerkressourcen besitzt, können sich die Auswirkungen auf die von diesem Prozess erreichbaren Daten und Dienste ausweiten.

Der Einsatz im Bereich der kritischen Fertigung erhöht den operativen Wert dieser Systeme. Ein erfolgreicher Angriff könnte Konstruktions- oder Fertigungsprozesse unterbrechen, technische Daten verändern oder als Ausgangspunkt für weitere Aktionen im Unternehmens- oder OT-Netzwerk dienen.

Das Briefing nennt keine aktiven Ausnutzungskampagnen, bestätigten Kompromittierungen oder spezifischen technischen Indikatoren, nach denen gesucht werden sollte. Zudem ist nicht bekannt, ob CVE-2026-64629 im Katalog Known Exploited Vulnerabilities (KEV) von CISA enthalten ist. Daher liegt keine zugehörige KEV-Frist vor. Nach den verfügbaren Informationen sind auch keine jüngeren Siemens-Einträge im KEV-Katalog bekannt.

Aktualisierung und Maßnahmen zur Risikominimierung

Die wichtigste Maßnahme besteht darin, Parasolid mindestens auf folgende Versionen zu aktualisieren:

• V38.0.235;
• V38.1.230;

oder auf eine von Siemens empfohlene spätere Version.

Vor der Verteilung in industriellen Umgebungen sollten Kompatibilität, Abhängigkeiten und betriebliche Auswirkungen geprüft werden. Das Update sollte insbesondere dann in einer kontrollierten Umgebung getestet werden, wenn Parasolid in CAD-Anwendungen oder Produktionsabläufe integriert ist.

Bis dahin sollten Organisationen:

• X_T-Dateien von nicht vertrauenswürdigen Absendern oder aus nicht vertrauenswürdigen Repositories nicht öffnen;
• Dateien vor dem Import internen Prüfungen unterziehen;
• die Berechtigungen von Anwendungen zur Verarbeitung technischer Modelle beschränken;
• den Netzwerkzugriff der betroffenen Systeme absichern;
• die Umgebungen gemäß den Siemens-Leitlinien für Industrial Security konfigurieren;
• OT- und Unternehmensnetzwerke voneinander trennen und die direkte Internet-Exposition reduzieren.

CISA empfiehlt außerdem, Steuerungsgeräte und Fernzugänge hinter Firewalls zu platzieren und bei notwendigem Fernzugriff aktuelle VPNs einzusetzen. Eine VPN stellt jedoch keinen eigenständigen Schutz dar: Auch verbundene Geräte und die Software zur Verwaltung der Verbindung können Schwachstellen aufweisen.

Verdächtige Aktivitäten sollten gemäß den internen Verfahren zur Incident Response behandelt werden. Siemens verweist für weitere Informationen und Aktualisierungen des Advisories auf seine Ressourcen zur Industrial Security und den ProductCERT-Service.