CVE-2018-1285
CVSS 9.8 CRITICAL: apache log4net versions before 2.0.10 do not disable XML external entities when parsing log4net configuration files. EPSS 18% (97º percentile).
Vulnerabilità · 47 giorni fa
CISA avvisa che Applied Systems Engineering ASE2000 V2, nelle versioni 2.25–2.37, espone i sistemi che lo usano in settori critici a un problema di fiducia, non solo a un accesso ai file. Il prodotto è diffuso globalmente e la correzione arriva con la 2.38.
Il punto debole sta nel modo in cui ASE2000 tratta contenuti XML e controlli TLS: un input costruito ad arte può essere accettato come affidabile, forzare richieste verso sistemi esterni o aggirare le verifiche su certificati e peer protetti. In pratica, il test set può leggere o scrivere file locali e alterare la validazione delle comunicazioni che dovrebbe garantire.
Per chi usa queste versioni in ambienti di test, validazione o laboratorio, il rischio resta finché la 2.38 non è in uso: la fiducia nelle comunicazioni OT/ICS può risultare falsata anche dove il software è considerato periferico.
CVSS 9.8 CRITICAL: apache log4net versions before 2.0.10 do not disable XML external entities when parsing log4net configuration files. EPSS 18% (97º percentile).
CVSS 7.4 HIGH: aSE2000 2.35 through 2.37 is vulnerable to an improper certificate validation vulnerability, which may allow an…
1 fonte che coprono questa storia
Applied Systems Engineering ASE2000 V2 Communications Test Set | CISA
Applied Systems Engineering ASE2000 V2 Communications Test Set Summary Successful exploitation of these vulnerabilities could allow an attacker to read or write arbitrary local files, cause the application to issue outbound network requests, or intercept the connection to…
Part of the PlainSec briefing for 2026-08-28