सीआईएसए सलाह: एप्लाइड सिस्टम्स इंजीनियरिंग ASE2000 V2 संचार परीक्षण सेट में महत्वपूर्ण कमजोरियाँ

सीआईएसए ने 27 अगस्त 2026 को एक औद्योगिक नियंत्रण प्रणाली सलाह जारी की, जिसमें एप्लाइड सिस्टम्स इंजीनियरिंग ASE2000 V2 संचार परीक्षण सेट, संस्करण 2.25 से 2.37 को प्रभावित करने वाली दो कमजोरियों का विवरण दिया गया। पहली कमजोरी, CVE-2018-1285, बंडल किए गए Apache log4net लाइब्रेरी में XML बाहरी इकाई संदर्भ (XXE) का अनुचित प्रतिबंध है, जो हमलावर को मनमानी स्थानीय फ़ाइलें पढ़ने या लिखने या बाहरी नेटवर्क अनुरोध करने की अनुमति देती है। दूसरी, CVE-2026-18717, IEC 60870-5-104 TLS क्लाइंट में अनुचित प्रमाणपत्र सत्यापन कमजोरी है, जो हमलावर को एक विश्वसनीय सहकर्मी के रूप में प्रस्तुत करने, TLS हैंडशेक पूरा करने और संरक्षित संचार को पढ़ने या संशोधित करने की अनुमति देती है। CVSS स्कोर 7.4 से 9.8 (महत्वपूर्ण) तक हैं। विक्रेता, ASE/Kalkitech, ने संस्करण 2.38 जारी किया है जो log4net को अपग्रेड करता है और प्रमाणपत्र सत्यापन को सही करता है। सीआईएसए तुरंत अपग्रेड करने की सिफारिश करता है और अस्थायी शमन प्रदान करता है जैसे लेखन पहुंच प्रतिबंधित करना, नेटवर्क को अलग करना, और फ़ायरवॉल का उपयोग करना। कोई ज्ञात सार्वजनिक शोषण रिपोर्ट नहीं किया गया है।