CISA-Warnung: Kritische Schwachstellen im Kommunikationstestgerät ASE2000 V2 von Applied Systems Engineering

CISA veröffentlichte am 27. August 2026 eine Warnung zu industriellen Kontrollsystemen, die zwei Schwachstellen beschreibt, die das Kommunikationstestgerät Applied Systems Engineering ASE2000 V2 in den Versionen 2.25 bis 2.37 betreffen. Die erste Schwachstelle, CVE-2018-1285, ist eine unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE) in der gebündelten Apache-log4net-Bibliothek, die es einem Angreifer ermöglicht, beliebige lokale Dateien zu lesen oder zu schreiben oder ausgehende Netzwerkanfragen auszulösen. Die zweite, CVE-2026-18717, ist eine Schwachstelle in der Zertifikatsvalidierung im IEC-60870-5-104-TLS-Client, die es einem Angreifer ermöglicht, sich als vertrauenswürdiger Peer auszugeben, den TLS-Handshake abzuschließen und geschützte Kommunikation zu lesen oder zu verändern. Die CVSS-Werte reichen von 7,4 bis 9,8 (kritisch). Der Hersteller ASE/Kalkitech hat Version 2.38 veröffentlicht, die log4net aktualisiert und die Zertifikatsvalidierung korrigiert. CISA empfiehlt ein sofortiges Upgrade und bietet Zwischenmaßnahmen wie die Einschränkung von Schreibzugriffen, die Isolierung von Netzwerken und die Verwendung von Firewalls. Es wurde keine bekannte öffentliche Ausnutzung gemeldet.