CISA-advisering: Kritieke kwetsbaarheden in Applied Systems Engineering ASE2000 V2 Communications Test Set

CISA heeft op 27 augustus 2026 een advies over industriële controlesystemen gepubliceerd waarin twee kwetsbaarheden worden beschreven die van invloed zijn op de Applied Systems Engineering ASE2000 V2 Communications Test Set, versies 2.25 tot en met 2.37. De eerste kwetsbaarheid, CVE-2018-1285, is een onjuiste beperking van XML externe entiteitreferentie (XXE) in de gebundelde Apache log4net-bibliotheek, waardoor een aanvaller willekeurige lokale bestanden kan lezen of schrijven of uitgaande netwerkverzoeken kan veroorzaken. De tweede, CVE-2026-18717, is een kwetsbaarheid voor onjuiste certificaatvalidatie in de IEC 60870-5-104 TLS-client, waardoor een aanvaller een vertrouwde peer kan imiteren, de TLS-handshake kan voltooien en beschermde communicatie kan lezen of wijzigen. De CVSS-scores variëren van 7,4 tot 9,8 (kritiek). De leverancier, ASE/Kalkitech, heeft versie 2.38 uitgebracht die log4net upgradet en de certificaatvalidatie corrigeert. CISA raadt aan om onmiddellijk te upgraden en biedt tussentijdse mitigaties zoals het beperken van schrijftoegang, het isoleren van netwerken en het gebruik van firewalls. Er is geen bekende openbare exploitatie gemeld.