Avis de la CISA : Vulnérabilités critiques dans l'ensemble de test de communications ASE2000 V2 d'Applied Systems Engineering

La CISA a publié un avis sur les systèmes de contrôle industriels le 27 août 2026, détaillant deux vulnérabilités affectant l'ensemble de test de communications ASE2000 V2 d'Applied Systems Engineering, versions 2.25 à 2.37. La première vulnérabilité, CVE-2018-1285, est une restriction incorrecte de référence à des entités externes XML (XXE) dans la bibliothèque Apache log4net incluse, permettant à un attaquant de lire ou écrire des fichiers locaux arbitraires ou de provoquer des requêtes réseau sortantes. La seconde, CVE-2026-18717, est une vulnérabilité de validation incorrecte des certificats dans le client TLS IEC 60870-5-104, permettant à un attaquant d'usurper l'identité d'un pair de confiance, de compléter la poignée de main TLS et de lire ou modifier des communications protégées. Les scores CVSS vont de 7,4 à 9,8 (critique). Le fournisseur, ASE/Kalkitech, a publié la version 2.38 qui met à niveau log4net et corrige la validation des certificats. La CISA recommande une mise à niveau immédiate et fournit des mesures d'atténuation provisoires telles que la restriction de l'accès en écriture, l'isolation des réseaux et l'utilisation de pare-feu. Aucune exploitation publique connue n'a été signalée.