Applied Systems Engineering ASE2000 V2 Communications Test Set

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/ics-advisories/icsa-26-239-04

Ver resumo CSAF. A exploração bem-sucedida dessas vulnerabilidades poderia permitir que um atacante lesse ou gravasse arquivos locais arbitrários, fizesse o aplicativo emitir requisições de rede de saída ou interceptasse a conexão para personificar o peer confiável, concluir o handshake TLS e ler ou modificar as comunicações protegidas. As versões afetadas são ASE2000 >=2.25|. A ASE/Kalkitech fornece a versão atualizada 2.38, que corrige ambas as vulnerabilidades, e recomenda que os clientes atualizem para a versão 2.38. Na versão 2.38, a biblioteca log4net incluída é atualizada para a versão 3.3.1.0, e a lógica de validação do certificado do cliente TLS IEC 60870-5-104 é corrigida. Todos os clientes que executam as versões 2.25 a 2.37 são afetados e devem atualizar para a versão 2.38 ou posterior. Até que a atualização seja aplicada, restrinja o acesso de gravação ao diretório de instalação e aos arquivos de configuração, evite usar IEC 60870-5-104 sobre TLS em redes não confiáveis ou compartilhadas e proteja o host com um firewall de rede. Não foi relatada à CISA exploração pública conhecida especificamente contra essas vulnerabilidades.