Advisori CISA: Kerentanan Kritis pada Set Uji Komunikasi ASE2000 V2 dari Applied Systems Engineering

CISA merilis advisory Sistem Kontrol Industri pada 27 Agustus 2026, merinci dua kerentanan yang mempengaruhi Set Uji Komunikasi ASE2000 V2 dari Applied Systems Engineering, versi 2.25 hingga 2.37. Kerentanan pertama, CVE-2018-1285, adalah pembatasan yang tidak tepat dari referensi entitas eksternal XML (XXE) di pustaka Apache log4net yang disertakan, memungkinkan penyerang membaca atau menulis file lokal arbitrer atau menyebabkan permintaan jaringan keluar. Yang kedua, CVE-2026-18717, adalah kerentanan validasi sertifikat yang tidak tepat di klien TLS IEC 60870-5-104, memungkinkan penyerang menyamar sebagai rekan tepercaya, menyelesaikan jabat tangan TLS, dan membaca atau memodifikasi komunikasi yang dilindungi. Skor CVSS berkisar dari 7,4 hingga 9,8 (kritis). Vendor, ASE/Kalkitech, telah merilis versi 2.38 yang meningkatkan log4net dan memperbaiki validasi sertifikat. CISA merekomendasikan peningkatan segera dan memberikan mitigasi sementara seperti membatasi akses tulis, mengisolasi jaringan, dan menggunakan firewall. Belum ada eksploitasi publik yang diketahui dilaporkan.