CISA勧告：Applied Systems Engineering ASE2000 V2通信テストセットの重大な脆弱性

CISAは2026年8月27日、Applied Systems Engineering ASE2000 V2通信テストセット（バージョン2.25から2.37）に影響する2つの脆弱性を詳述した産業用制御システム勧告を発表しました。最初の脆弱性CVE-2018-1285は、バンドルされているApache log4netライブラリのXML外部エンティティ参照（XXE）の不適切な制限であり、攻撃者が任意のローカルファイルを読み書きしたり、外部へのネットワークリクエストを引き起こしたりする可能性があります。2番目のCVE-2026-18717は、IEC 60870-5-104 TLSクライアントの不適切な証明書検証の脆弱性であり、攻撃者が信頼できるピアを偽装し、TLSハンドシェイクを完了し、保護された通信を読み取ったり変更したりする可能性があります。CVSSスコアは7.4から9.8（重大）の範囲です。ベンダーであるASE/Kalkitechは、log4netをアップグレードし証明書検証を修正したバージョン2.38をリリースしました。CISAは直ちにアップグレードすることを推奨し、書き込みアクセスの制限、ネットワークの分離、ファイアウォールの使用などの中間緩和策を提供しています。既知の公的な悪用は報告されていません。