CISA Uyarısı: Applied Systems Engineering ASE2000 V2 İletişim Test Cihazında Kritik Güvenlik Açıkları

CISA, 27 Ağustos 2026'da Applied Systems Engineering ASE2000 V2 İletişim Test Cihazı'nın 2.25 ile 2.37 sürümlerini etkileyen iki güvenlik açığını ayrıntılarıyla anlatan bir Endüstriyel Kontrol Sistemleri uyarısı yayınladı. İlk açık olan CVE-2018-1285, paketlenmiş Apache log4net kitaplığındaki XML dış varlık referansının (XXE) hatalı kısıtlanmasıdır ve bir saldırganın yerel dosyaları okumasına veya yazmasına ya da dış ağ isteklerine neden olmasına olanak tanır. İkincisi olan CVE-2026-18717, IEC 60870-5-104 TLS istemcisindeki hatalı sertifika doğrulama güvenlik açığıdır ve bir saldırganın güvenilir bir eş gibi davranmasına, TLS el sıkışmasını tamamlamasına ve korumalı iletişimi okumasına veya değiştirmesine olanak tanır. CVSS puanları 7.4 ile 9.8 (kritik) arasında değişmektedir. Satıcı ASE/Kalkitech, log4net'i yükselten ve sertifika doğrulamasını düzelten 2.38 sürümünü yayınladı. CISA, derhal yükseltme yapılmasını öneriyor ve yazma erişimini kısıtlama, ağları izole etme ve güvenlik duvarları kullanma gibi geçici azaltıcı önlemler sunuyor. Bilinen herhangi bir kamuya açık istismar bildirilmedi.