هشدار امنیتی CISA درباره آسیبپذیریهای بحرانی در سیستم Veeder-Root TLS4B
آژانس امنیت زیرساخت و امنیت سایبری ایالات متحده (CISA) در تاریخ ۲۳ اکتبر ۲۰۲۵ هشدار امنیتی مهمی درباره دو آسیبپذیری بحرانی در سیستم اندازهگیری خودکار مخازن سوخت Veeder-Root TLS4B منتشر کرد.
این نقصها میتوانند توسط مهاجمان برای اجرای دستورات سیستمی از راه دور و بهدست گرفتن کنترل کامل سامانههای صنعتی مورد سوءاستفاده قرار گیرند — بهویژه در بخش انرژی که از این سیستم در مقیاس گسترده استفاده میشود.
دو آسیبپذیری بحرانی شناساییشده
طبق گزارش پژوهشگران امنیتی Bitsight، دو نقص امنیتی خطرناک در این سیستم کشف شده است:
۱. آسیبپذیری اجرای دستورات از راه دور (Command Injection) – CVE-2025-58428
در این نقص، سیستم ورودیهای خاص در دستورات را بهدرستی خنثی نمیکند.
مهاجم با استفاده از دسترسی معتبر میتواند کدهای مخرب را به سیستم تزریق کرده و بر روی سیستمعامل لینوکس داخلی دستگاه فرمان اجرا کند.
این آسیبپذیری با شناسه CVE-2025-58428 و امتیاز CVSS 9.4 از ۱۰ طبقهبندی شده است — بهمعنای خطر بسیار بالا.
ویژگی خطرناک این نقص در سادگی بهرهبرداری و دسترسیپذیری از طریق اینترنت از طریق رابط SOAP Web Services است.
در صورت موفقیت، مهاجم میتواند:
-
به پوسته (Shell) سیستم دسترسی کامل پیدا کند،
-
در شبکه حرکت جانبی (Lateral Movement) انجام دهد،
-
و بدون شناسایی شدن، کنترل کامل سیستم را در دست گیرد.
۲. آسیبپذیری سرریز عددی (Integer Overflow) – CVE-2025-55067
دومین نقص امنیتی به نحوه مدیریت مقادیر زمانی در سیستم یونیکس (Unix Time) مرتبط است.
زمانی که ساعت سیستم به تاریخ ۱۹ ژانویه ۲۰۳۸ برسد، بهطور خودکار به ۱۳ دسامبر ۱۹۰۱ بازمیگردد.
این بازگشت زمانی باعث:
-
اختلال در فرآیند احراز هویت (Authentication Failures)،
-
غیرفعال شدن عملکردهای حیاتی مانند تشخیص نشت سوخت،
-
و در نهایت حملات DoS (محرومسازی از سرویس) میشود که میتواند مدیران سیستم را کاملاً قفل کند.
سیستمهای تحت تأثیر و نسخههای آسیبپذیر
سیستم Veeder-Root TLS4B Automatic Tank Gauge در صدها شرکت و تأسیسات انرژی در سراسر جهان نصب شده است.
تمام نسخههای قبل از نسخه 11.A در برابر نقص Command Injection آسیبپذیر هستند.
به گفته Veeder-Root، نسخه 11.A برای رفع آسیبپذیری CVE-2025-58428 منتشر شده و سازمانها باید فوراً به این نسخه ارتقا دهند.
در مورد آسیبپذیری CVE-2025-55067، هنوز وصله دائمی ارائه نشده است.
تا زمان انتشار اصلاحیه نهایی، شرکت Veeder-Root توصیه میکند که سازمانها از بهترین روشهای امنیت شبکه استفاده کنند.
توصیههای امنیتی CISA برای کاهش ریسک
آژانس CISA مجموعهای از راهکارهای پیشگیرانه را برای جلوگیری از بهرهبرداری مهاجمان ارائه داده است:
-
محدود کردن دسترسی اینترنتی به دستگاههای صنعتی:
هیچ دستگاه کنترل صنعتی نباید بهطور مستقیم به اینترنت متصل باشد.
این سامانهها باید در شبکهای جدا و ایزوله، پشت دیوار آتش (Firewall) قرار گیرند. -
استفاده از شبکههای خصوصی مجازی (VPN):
اگر دسترسی از راه دور ضروری است، از VPNهای امن و بهروزشده برای ارتباط استفاده کنید. -
ارتقای سریع به نسخه جدید:
نسخه 11.A سیستم TLS4B را از وبسایت رسمی Veeder-Root دریافت و نصب نمایید. -
تحلیل تأثیرات (Impact Analysis):
پیش از هرگونه تغییر یا وصله امنیتی، تأثیر احتمالی بر عملیات حیاتی را بررسی کنید تا از ایجاد اختلال ناخواسته جلوگیری شود.
وضعیت بهرهبرداری
تا زمان انتشار هشدار، هیچ گزارش عمومی از بهرهبرداری فعال این آسیبپذیریها منتشر نشده است.
با این حال، با توجه به درجه خطر بالا و سادگی حمله، CISA تأکید کرده است که این تهدید باید بهصورت فوری و جدی مورد توجه قرار گیرد.
جمعبندی
این رخداد یادآور آن است که سامانههای صنعتی و زیرساختی، حتی در سادهترین لایههای خود، ممکن است بهدلیل ضعف در طراحی نرمافزار هدف حملات قرار گیرند.
آسیبپذیریهای Veeder-Root TLS4B نشان میدهد که حتی ابزارهایی که برای پایش و ایمنی طراحی شدهاند، میتوانند دروازهای برای نفوذ به شبکه باشند.
با اجرای سریع وصلهها، ایزولهسازی شبکهها، و پایش مداوم ترافیک، سازمانها میتوانند از تکرار حوادث مشابه در آینده جلوگیری کنند.
دیدگاه ها بسته هستند