Avviso CISA: Vulnerabilità critiche nel Communications Test Set ASE2000 V2 di Applied Systems Engineering

CISA ha rilasciato un avviso sui sistemi di controllo industriale il 27 agosto 2026, descrivendo due vulnerabilità che interessano il Communications Test Set ASE2000 V2 di Applied Systems Engineering, versioni dalla 2.25 alla 2.37. La prima vulnerabilità, CVE-2018-1285, è una restrizione impropria del riferimento a entità esterne XML (XXE) nella libreria Apache log4net inclusa, che consente a un aggressore di leggere o scrivere file locali arbitrari o causare richieste di rete in uscita. La seconda, CVE-2026-18717, è una vulnerabilità di validazione impropria dei certificati nel client TLS IEC 60870-5-104, che consente a un aggressore di impersonare un peer fidato, completare l'handshake TLS e leggere o modificare comunicazioni protette. I punteggi CVSS vanno da 7.4 a 9.8 (critico). Il fornitore, ASE/Kalkitech, ha rilasciato la versione 2.38 che aggiorna log4net e corregge la validazione dei certificati. CISA raccomanda di aggiornare immediatamente e fornisce mitigazioni provvisorie come limitare l'accesso in scrittura, isolare le reti e utilizzare firewall. Nessuno sfruttamento pubblico noto è stato segnalato.