نشرة CISA: ثغرات حرجة في جهاز اختبار الاتصالات ASE2000 V2 من Applied Systems Engineering

أصدرت CISA نشرة استشارية لأنظمة التحكم الصناعي في 27 أغسطس 2026، تفصّل ثغرتين تؤثران على جهاز اختبار الاتصالات ASE2000 V2 من Applied Systems Engineering، الإصدارات من 2.25 إلى 2.37. الثغرة الأولى، CVE-2018-1285، هي تقييد غير سليم لمرجع الكيان الخارجي XML (XXE) في مكتبة Apache log4net المضمنة، مما يسمح للمهاجم بقراءة أو كتابة ملفات محلية عشوائية أو التسبب في طلبات شبكة صادرة. الثانية، CVE-2026-18717، هي ثغرة تحقق غير سليم من الشهادات في عميل IEC 60870-5-104 TLS، مما يسمح للمهاجم بانتحال شخصية نظير موثوق، وإكمال مصافحة TLS، وقراءة أو تعديل الاتصالات المحمية. تتراوح درجات CVSS من 7.4 إلى 9.8 (حرجة). أصدر البائع، ASE/Kalkitech، الإصدار 2.38 الذي يرقّي log4net ويصحح التحقق من الشهادات. توصي CISA بالترقية الفورية وتوفر تخفيفات مؤقتة مثل تقييد وصول الكتابة، وعزل الشبكات، واستخدام جدران الحماية. لم يتم الإبلاغ عن أي استغلال علني معروف.