یک درخواست HTTP که راهانداز موتور را میخواباند
اطلاعیه سیسا درباره ArmorStart LT نقص اسکریپت میانسایتی ذخیرهشده را با تخصیص منابع بیحد از راه درخواست PUT جفت میکند که ۸.۷ در CVSS نگارش ۴ میگیرد. فریمور ۲.۰۰۲ هر دو را اصلاح میکند.
سیسا در سیزدهم شهریور اطلاعیه ICSA-26-246-04 را منتشر کرد که ArmorStart LT راکول اتومیشن را در نگارش ۲.۰۰۱ و پایینتر پوشش میدهد. دو مسئله فهرست شده است. CVE-2026-19471 نقص اسکریپت میانسایتی ذخیرهشده در وبسرور نهفته است، CWE-79، با امتیاز ۷.۳ در CVSS نگارش ۳.۱ و ۶.۹ در نگارش ۴.۰: مهاجم میتواند اسکریپتی تزریق کند که هنگام باز کردن صفحه آسیبدیده توسط کاربر دیگری اجرا شود. CVE-2026-19472 تخصیص منابع بدون حد یا تنظیم نرخ است، CWE-770، که با درخواستهای HTTP PUT فعال میشود و ۷.۵ در نگارش ۳.۱ اما ۸.۷ در نگارش ۴.۰ میگیرد و باعث از دست رفتن دسترسپذیری وبسرور میشود. هر دو در فریمور ۲.۰۰۲ اصلاح شدهاند، و کاربرانی که نمیتوانند ارتقا دهند به رویههای امنیتی توصیهشده راکول ارجاع داده میشوند.
ArmorStart LT یک راهانداز موتور توزیعشده است — بسته درایو و راهانداز که به جای تابلوی مرکزی روی خود ماشین نصب میشود، که تمام نکته محصول است و همچنین دلیل اینکه این اطلاعیه بیش از آنچه امتیازهایش نشان میدهند درخور توجه است. دستگاههای توزیعشده پرشمارند، از نظر فیزیکی در سراسر کارخانه پراکندهاند، و به همان شبکه ماشینی وصلاند که بقیه. نقص در یکی نقص در دههاست، و بهروزرسانی فریمور روی دهها دستگاه پیچشده به نوار نقاله و اسکید مسئله لجستیکی متفاوتی از بهروزرسانی یک کنترلر در تابلوست.
فاصله میان دو امتیاز CVSS در مسئله دوم هم ارزش خواندن دارد نه رد شدن. نگارش ۴.۰ امتیاز بالاتری از ۳.۱ میدهد، و این همان کاری است که چارچوب تازهتر برای انجامش طراحی شده: وزن دادن به اثر بر دسترسپذیری دستگاهی که دسترسپذیریاش خود محصول است. منع سرویس علیه واسط وب روی سرور اداری یک مزاحمت است؛ همان نقص روی سرور نهفته یک راهانداز موتور، مسیر عیبیابی و پیکربندی دستگاهی است که موتوری را کنترل میکند، و دقیقا لحظهای از دست میرود که کسی میکوشد بفهمد چرا خط ایستاده.
راهنمای عملی از ماهیت این دستگاهها میآید. درست فهرستشان کنید — راهاندازهای توزیعشده از رایجترین ورودیهای جامانده در ثبت دارایی صنعتیاند، چون بخشی از یک ماشین نصب شدهاند نه اینکه همچون تجهیز شبکه خریداری شوند. کارزار فریمور را حول دسترسپذیری ماشین برنامه بریزید نه اینکه چرخه وصله فناوری اطلاعات بدانیدش. و بسنجید که آیا وبسرور نهفته اصلا باید قابل دسترسی باشد: در بیشتر نصبها هنگام راهاندازی به کار میرود و پس از آن هرگز، که محدود کردنش به ویلن مهندسی را به تغییری بدل میکند بیهیچ هزینه عملیاتی و با کاهش دائمی مواجهه.