فروشنده‌ای که اصلاحش برای یک ۹.۸ حذف نرم‌افزار است

سرت‌ات‌وی‌دی‌ای روز ۶ اکتبر هشدار VDE-2026-108 را برای CVE-2026-94293 منتشر کرد، نقص نبود احراز هویت (CWE-306) با امتیاز ۹.۸ در aas-edge-client شرکت Murrelektronik، همه نگارش‌ها.

توصیف فنی کوتاه است چون مسئله ساختاری است. رابط REST به همه واسط‌های شبکه روی درگاه TCP 18000 متصل می‌شود، احراز هویت نمی‌خواهد، و درخواست‌های میان‌مبدأ را از هر مبدأیی می‌پذیرد. به تعبیر سرت‌ات‌وی‌دی‌ای، مهاجم بدون احراز هویت از راه دور می‌تواند داده زیرمدل پوسته مدیریت دارایی را با درخواست‌های PATCH تغییر دهد و همه داده‌ای را که نقاط انتهایی GET نمایان می‌کنند بخواند. هشدار یادآور می‌شود که صفحه وب مخربی که کاربری روی شبکه‌ای با دسترسی به دستگاه باز کند کافی است.

بعد بخش اصلاح، که غیرمعمول‌تر از آن است که نقل نشود: شرکت Murrelektronik اصلاحیه‌ای فراهم نخواهد کرد. فروشنده می‌گوید این نرم‌افزار پیاده‌سازی مرجعی بوده که تنها برای یک نمونه نمایشی نمایشگاهی ساخته شده و دیگر نگهداری نمی‌شود. اقدام توصیه‌شده، توقف استفاده و برداشتن هر استقرار موجود و نیز نسخه‌های کد منبع و تصویر کانتینر است. گزارش‌دهنده با نام kta1kri معرفی شده است.

دو چیز این را از طول هشدارش ارزشمندتر می‌کند. پوسته مدیریت دارایی استاندارد دوقلوی دیجیتال صنعت ۴.۰ است، و داده زیرمدل همان چیزی است که لایه‌های MES و تحلیل آن را حقیقت پایه درباره یک ماشین می‌دانند. دسترسی نوشتنی که ردی نمی‌گذارد اطلاعات را نشت نمی‌دهد، تصمیم‌هایی را که در بالادست گرفته می‌شوند فاسد می‌کند — و این خرابی‌ای است که دیدنش از نشت داده دشوارتر است.

جزئیات میان‌مبدأ هم شایسته توجه است. پذیرش درخواست از هر مبدأیی یعنی مهندسی که روی لپ‌تاپ کارخانه وب می‌گردد می‌تواند سازوکار تحویل باشد، و این فرض محیط پیرامونی را دور می‌زند که بیشتر طراحی‌های شبکه OT هنوز بر آن استوارند.

و بعد درس صادقانه، که واقعا درباره Murrelektronik نیست. کد نمایشی و مرجع پیوسته به محیط عملیاتی فرار می‌کند، چون کار می‌کند، در دسترس است، و کسی برچسبش نزده. راه‌حل «حذفش کنید» تنها وقتی کار می‌کند که کسی بداند آن کانتینر در حال اجراست — و کانتینری که دو سال پیش برای یک نمایش مستقر شده، دقیقا از آن دست چیزهایی است که هیچ سیاهه‌ای ثبتش نکرده.