Kunbus RevolutionPI: هشدار CISA قبل از شکاف های امنیتی

اداره امنیت سایبری ایالات متحده CISA در مورد چندین شکاف امنیتی در سیستم های ICS (سیستم های کنترل صنعتی) از تولید کننده آلمانی Kunbus هشدار می دهد. تصویر ، برنامه وب برای پیکربندی سری “انقلاب PI” رایانه های مینی صنعتی و تصویر سیستم عامل هیچ احراز هویت نداشت و در را باز کرد. تصویر همچنین هنگام بررسی داده های ورودی ، کشته شد.

هشدار CISA به چهار شکاف امنیتی گسترش می یابد:

• “شماره نقطه CVSS کامل” از 10.0 (شدت “بحرانی“) عدم تأیید اعتبار برای سرور Node-Red را دریافت می کند ، که در Os Os Revolution PI (CVE-2025-24522 ، EUVD-2025-13263) گنجانده شده است
• حداقل 9.8 امتیاز منجر به شکافی می شود که می توان از طریق “مسیر عبور” ، یعنی دستکاری ماهرانه مسیرهای URL ، احراز هویت در نسخه های تصویری بین 2.5 تا 2.11.1 (CVE-2025-32011 ، EUVD-2025-13269 ، شدت “بحرانی“)
• مهاجمان که ثبت نام می کنند (مانند یکی از شکافهای قبلی) در یک نمونه تصویری با نسخه 2.11.1 یا بالاتر می توانند از طریق نام پرونده یک اسکریپت فایل پیکربندی (اسکریپت متقاطع ذخیره شده) کاربران مشروع را فرعی کنند. این شکاف با مقدار نقطه CVSS 9.0 است “بحرانی“و شناسه های CVE-2025-35996 و EUVD-2025-13257
• اگر مهاجم URL آماده را با کد اسکریپت به یک کاربر تصویر مشروع سوق دهد ، این کار توسط مرورگر قربانی انجام می شود (منعکس کننده اسکریپت های متقابل سایت). شکاف با CVE-ID CVE-2025-36558 و EUVD-2025-13267 دارای مقدار CVSS 6.1/10 است و بنابراین است معتاد، تمام نسخه های تصویری تا 2.11.1.

کانبوس سریعاً تعمیر می کند ، سیزا دیر هشدار می دهد

سازنده Kunbus در اوایل ماه آوریل به شکاف های ثبت شده توسط یک محقق امنیت خارجی واکنش نشان داد و برخی از آنها را با بروزرسانی بسته تعمیر کرد. هر دو شکاف XXS و نقطه ضعف دستکاری مسیر بحرانی در تصویر 2.12 ثابت شده است ، همانطور که Kunbus در یک یادداشت امنیتی می نویسد.

با این حال ، یک تصویر جدید سیستم عامل که فقدان تأیید اعتبار سرور گره قرمز را تصحیح می کند در اوایل ماه مه 2025 در دسترس نیست. به درخواست امنیت Heise ، سخنگوی Kunbus سخنگوی Ekkehard Krebs توضیح داد: “یک راه حل نهایی برای مشکل (از جمله یک مدیریت جدید حقوق برای گره) همراه با به روزرسانی به روزرسانی ما در هفته بعد از سیستم عامل ما ارائه می شود.” تا آن زمان ، مدیران باید تنظیمات پیکربندی لازم را خود انجام دهند-کانبوس راهنمایی در مشاوره امنیتی را ارائه می دهد.

هنوز مشخص نیست که چرا CISA در اوایل ماه مه ، یعنی یک ماه پس از انتشار دستورالعمل های ایمنی توسط Kunbus ، متحمل شد. به گفته این اقتدار ، مشخص نیست که ضعف ها به طور فعال مورد سوء استفاده قرار می گیرند ، به عنوان مثال برای اتخاذ یا آسیب رساندن به دستگاه ها.

(CKU)