Уязвимость в EcoStruxure Power Build Rapsody позволяет выполнить код

Schneider Electric выпустила исправления для EcoStruxure Power Build Rapsody - среды проектирования распределительных щитов. Ошибка в работе с памятью позволяет запустить произвольный код на компьютере проектировщика. Для этого злоумышленник убеждает пользователя открыть специально собранный файл SSD. Атака локальная: из сети её не провести, но и без действия человека она не сработает.

Ошибка в работе с памятью

Речь об использовании памяти после освобождения - use after free, CWE-416. Программа обращается к участку, который уже вернула системе. Такой участок может достаться другому объекту. В итоге запись по старому указателю меняет чужие данные, и приложение ведёт себя непредсказуемо.

Schneider Electric предупреждает о последствиях отказа от обновления. Возможны повреждение памяти и переполнение буфера - как в куче, так и на стеке. Кучей называют область динамической памяти, стеком - участок под локальные переменные. Оба сценария означают, что данные выходят за границы выделенной области.

Rapsody нужна, чтобы ввести или импортировать однолинейную схему щита и получить полную спецификацию. В неё входят устройства, соединительные элементы и крепёж. Проектные файлы пересылают между подрядчиками, заказчиками и монтажниками. Чужой файл в почте - обычная рабочая ситуация.

Атака строится на файле SSD: Rapsody открывает его по команде пользователя. Злоумышленнику достаточно, чтобы файл попал в почту или общий каталог и кто-то его открыл.

Условия атаки

Уязвимость получила идентификатор CVE-2026-119055 и средний уровень опасности. По CVSS v4.0 оценка составила 4,6, по CVSS v3.1 - 5,3. Атака требует локального доступа: эксплойт запускают на той же машине, где установлена Rapsody. Учётные данные не нужны, зато пользователь должен сам открыть вредоносный файл. Влияние на конфиденциальность, целостность и доступность ограниченное.

Код исполнится с правами той учётной записи, которая открыла файл. Что окажется доступно дальше, зависит от прав и сетевых подключений рабочей станции. Ошибка живёт в программной среде проектирования, а не в прошивке устройств. В спецификацию попадают характеристики оборудования, но команды выполняются на компьютере.

Сведений об эксплуатации уязвимости в реальных атаках в бюллетене и записи CVE нет. Ошибку нашёл Michael Heinzl; Schneider Electric указывает его в благодарностях.

Затронутые и исправленные версии

Schneider Electric перечислила уязвимые сборки с пометкой "и более ранние": FR-V2.9.1.0, ESP-V2.8.5.0301, PT-V2.8.7.0101, BEL(FR)-V2.8.8.0201, BEL(EN)-V2.8.3.0201, INT(EN)-V2.8.4.0401, INT(FR)-V2.8.6.0000 и NL-V2.8.2.0000.

Исправления вышли для каждой языковой ветки. FR обновляют до V2.9.12.0101, ESP - до V2.9.5.0000, PT - до V2.9.7.0000. Для BEL(FR) актуальна V2.9.8.0000, для BEL(EN) - V2.9.3.0000. Ветки INT(EN) и INT(FR) закрывают версиями V2.9.4.0000 и V2.9.6.0000, нидерландскую NL - V2.9.6.0000. Номера различаются, поэтому сверяться нужно со своей сборкой, а не с общим номером релиза.

В перечень попали только поддерживаемые выпуски. Отсутствие сборки в списке не значит, что она защищена: так бюллетень отвечает на вопрос о версиях, снятых с поддержки.

Организациям придётся обновлять каждую рабочую станцию с Rapsody. Языковых веток несколько, и универсального номера, который подойдёт всем, нет.

Порядок обновления

Патч ставят по обычной процедуре управления обновлениями. Перед развёртыванием сделайте резервную копию. Проверьте установку в тестовой среде или на изолированной инфраструктуре. Если патч придётся откатывать, Schneider Electric предлагает обращаться в свой центр поддержки.

После обновления специально собранный файл больше не приводит к выполнению кода. Ошибку в работе с памятью закрыли в самих сборках Rapsody.

Обходной меры бюллетень не предлагает - только обновление. Компания советует самостоятельно оценить метрики окружения по CVSS: базовые 4,6 не учитывают особенности конкретной инфраструктуры. Подписка на сервис уведомлений Schneider Electric помогает узнавать о новых выпусках.

Полное описание - в бюллетене безопасности SEVD-2026-314-01 от 10 ноября 2026 года.