Aviso da CISA: Vulnerabilidades Críticas no Conjunto de Testes de Comunicação ASE2000 V2 da Applied Systems Engineering

A CISA divulgou um aviso de Sistemas de Controle Industrial em 27 de agosto de 2026, detalhando duas vulnerabilidades que afetam o Conjunto de Testes de Comunicações ASE2000 V2 da Applied Systems Engineering, versões 2.25 a 2.37. A primeira vulnerabilidade, CVE-2018-1285, é uma restrição inadequada de referência a entidade externa XML (XXE) na biblioteca Apache log4net incluída, permitindo que um atacante leia ou grave arquivos locais arbitrários ou cause solicitações de rede externas. A segunda, CVE-2026-18717, é uma vulnerabilidade de validação de certificado inadequada no cliente TLS IEC 60870-5-104, permitindo que um atacante se passe por um par confiável, complete o handshake TLS e leia ou modifique comunicações protegidas. As pontuações CVSS variam de 7,4 a 9,8 (crítico). O fornecedor, ASE/Kalkitech, lançou a versão 2.38 que atualiza o log4net e corrige a validação de certificado. A CISA recomenda atualizar imediatamente e fornece mitigações provisórias, como restringir acesso de gravação, isolar redes e usar firewalls. Nenhuma exploração pública conhecida foi relatada.