Рекомендация CISA: Критические уязвимости в коммуникационном тестовом комплекте ASE2000 V2 от Applied Systems Engineering

CISA опубликовала предупреждение о системах промышленного управления 27 августа 2026 года, подробно описывающее две уязвимости, затрагивающие комплект связи Applied Systems Engineering ASE2000 V2 версий 2.25–2.37. Первая уязвимость, CVE-2018-1285, представляет собой неправильное ограничение ссылок на внешние сущности XML (XXE) во встроенной библиотеке Apache log4net, что позволяет злоумышленнику читать или записывать произвольные локальные файлы или вызывать исходящие сетевые запросы. Вторая, CVE-2026-18717, представляет собой уязвимость неправильной проверки сертификатов в TLS-клиенте IEC 60870-5-104, позволяющую злоумышленнику выдавать себя за доверенного peer, завершить рукопожатие TLS и читать или изменять защищенную связь. Оценки CVSS варьируются от 7.4 до 9.8 (критический уровень). Поставщик ASE/Kalkitech выпустил версию 2.38, которая обновляет log4net и исправляет проверку сертификатов. CISA рекомендует немедленно обновиться и предлагает временные меры, такие как ограничение доступа на запись, изоляция сетей и использование брандмауэров. О публичной эксплуатации не сообщалось.