اعلامیه CISA درباره AVEVA Pipeline Integrity Monitor — CVE-2026-81821 تا CVE-2026-81824

منبع: CISA Cybersecurity Advisories و بیانیه امنیتی AVEVA-2026-006 (اطلاعات براساس این منبع‌ها استخراج شده‌اند).

محور گزارش
- محصول آسیب‌پذیر: AVEVA Pipeline Integrity Monitor
- نسخه‌های متاثر: AVEVA Pipeline Integrity Monitor <=2025_SP1_P1_build_7.1.9580.8513
- شناسه‌های آسیب‌پذیری: CVE-2026-81821, CVE-2026-81822, CVE-2026-81823, CVE-2026-81824
- حوزه‌های اثرگذاری: صنایع زیرساخت بحرانی (Critical Manufacturing)؛ استقرار در سطح جهانی

خلاصه فنی آسیب‌پذیری‌ها
- CVE-2026-81821: در صورت سوءاستفاده، فردی که به فایل‌های پروژه PIMBoards دست‌خوانی (read) داشته باشد می‌تواند اطلاعات حساس رمزگشایی و مشاهده کند. (مرتبط با CWE-321)
- CVSS 3.1: 8.4 (HIGH)

- CVE-2026-81822: امکان معکوس‌سازی یا حمله brute-force روی هش‌های ضعیف رمز عبور ذخیره‌شده در فایل‌های پروژه PIMBoards وجود دارد که می‌تواند به ارتقای دسترسی تا سطح ادمین منجر شود. (مرتبط با CWE-327)
- CVSS 3.1: 8.4 (HIGH)

- CVE-2026-81823: یک آسیب‌پذیری مجوزدهی (Missing Authorization, CWE-862) که می‌تواند به بازیابی اطلاعاتی منجر شود که فقط کاربران PIMBoards باید به آن دسترسی داشته باشند. عملیات نوشتن تحت‌تأثیر قرار نگرفته است.
- CVSS 3.1: 5.3 (MEDIUM)

- CVE-2026-81824: یک آسیب‌پذیری XSS (CWE-79) که به مهاجم اجازه می‌دهد در نشست مرورگر کاربر PIMBoards در صورت فریب‌خوردن کاربر برای کلیک روی لینک مخرب، کد جاوااسکریپت دلخواه اجرا کند.
- CVSS 3.1: 4.7 (MEDIUM)

اطلاعات تکمیلی از منبع
- CISA و AVEVA گزارش داده‌اند که برای این آسیب‌پذیری‌ها دسته‌ای از اصلاحات و راهنمایی‌ها توسط AVEVA منتشر شده است (بیانیه AVEVA-2026-006). توجه شده که مهاجرت فایل‌های پروژه PIMBoards به نسخه‌های جدیدتر الگوریتم‌های هش و کلیدهای رمزنگاری مدیریت‌شده را تغییر می‌دهد و روند مهاجرت یک‌سویه است.
- شناخته‌شدن گزارش‌دهندگان: AVEVA خود CVE-2026-81821 و CVE-2026-81822 را گزارش کرده و Adham Khairy Ramadan (0xadham) از طریق HackerOne گزارش‌های CVE-2026-81823 و CVE-2026-81824 را ثبت کرده است.
- CISA تا زمان انتشار گزارش هیچ سوءاستفاده عمومی مشخصی از این ضعف‌ها را مستند نکرده است.

خلاصه تحلیلی (مستقل)
- دامنه و اهمیت: شواهد نشان می‌دهد آسیب‌پذیری‌ها ترکیبی از ضعف‌های رمزنگاری (کد/الگوریتم‌های ضعیف یا سخت‌کدشده)، نقص مجوزدهی و XSS را شامل می‌شوند. دو CVE با امتیاز بالا (8.4) مربوط به رمزنگاری/مدیریت رمز عبور هستند که در صورت دسترسی به فایل‌های پروژه می‌توانند تبعات قابل‌توجهی در سطح حساب‌های کاربری و افشای داده‌ها داشته باشند.
- زمینه‌ی صنعتی: محصول در حوزه مانیتورینگ یکپارچگی خطوط لوله قرار دارد و در بخش‌های تولیدی و زیرساختی بحرانی استفاده می‌شود؛ بنابراین هرگونه افشای اطلاعات یا ارتقای سطح دسترسی می‌تواند پیامدهای عملیاتی و ایمنی داشته باشد.
- نکته‌ٔ عملیاتی: بیانیه منبع اشاره می‌کند که مهاجرت فایل‌های پروژه بین نسخه‌ها رفتار یک‌طرفه دارد که می‌تواند پیچیدگی عملیاتی برای تیم‌های نگهداری ایجاد کند (مثلاً نگهداری نسخه‌های پشتیبان قدیمی که ممکن است حاوی هش‌های آسیب‌پذیر باشند). این موضوع ریسک مدیریت چرخه عمر داده‌ها را برجسته می‌کند.
- اولویت‌بندی ریسک: موارد مرتبط با رمزنگاری و بازیابی هش‌ها (CVE-2026-81821, CVE-2026-81822) به‌دلیل احتمال تأثیر بر محرمانگی و امکان ارتقای دسترسی، از بالاترین اولویت ارزیابی می‌شوند. آسیب‌پذیری XSS و نقص مجوزدهی نیز می‌توانند در ترکیب با روش‌های مهندسی اجتماعی یا دیگر ضعف‌ها خطر را افزایش دهند.

مرجع
- این متن بر پایه اعلامیه CISA و بیانیه امنیتی AVEVA-2026-006 تنظیم شده است. برای جزئیات فنی و اطلاعیه‌های رسمی به منابع اصلی CISA و AVEVA مراجعه شود.