هشدار CISA درباره چند آسیب‌پذیری در ST Engineering iDirect iQ‑Series Terminals (Update A)
CISA چند ضعف امنیتی در دستگاه‌های ST Engineering iDirect iQ‑Series (نسخه‌های <=4.5.2.1) گزارش کرده است؛ بهره‌برداری می‌تواند منجر به افشای اطلاعات حساس، جعل ترمینال، اختلال سرویس یا ارتقای دسترسی محلی شود. سازنده به‌روزرسانی 4.5.3.0 را منتشر کرده است.
این گزارش بر اساس اطلاعیه رسمی CISA Cybersecurity Advisories تهیه شده است. CISA اعلام کرده که چندین آسیب‌پذیری در دستگاه‌های ST Engineering iDirect iQ‑Series Terminals (Update A) شناسایی شده که دستگاه‌های Evolution iQ‑Series، 3315‑Series و 9‑Series با نسخه‌های نرم‌افزاری <=4.5.2.1 را تحت تأثیر قرار می‌دهد. سازنده آسیب‌پذیری‌ها را رفع کرده و به‌روزرسانی 4.5.3.0 یا جدیدتر را توصیه می‌کند؛ پچ‌ها برای کاربران ثبت‌شده در پورتال پشتیبانی iDirect در دسترس است (https://support.idirect.net).
خلاصه آسیب‌پذیری‌های اعلام‌شده (بر اساس CISA):
- CVE-2026-38059: نقاط انتهایی /api/identity و /api/ در برخی دستگاه‌های iQ200 بدون احراز هویت در دسترس هستند. یک مهاجم بدون احراز هویت و با دسترسی شبکه می‌تواند اطلاعات حساس دستگاه مانند serial number، Device ID (DID)، Terminal Private Key identifier (TPK)، MAC و نسخه دقیق firmware را استخراج کند. DID و TPK در احراز هویت شبکه ماهواره‌ای استفاده می‌شوند و افشای آنها ممکن است به جعل ترمینال یا شناسایی شبکه منجر شود.
- CVE-2026-38057: پس از احراز هویت، کنترل‌های CSRF به‌درستی برای برخی نقطه‌پایان‌های تغییر وضعیت (مثلاً /api/reboot) اعمال نمی‌شوند؛ endpoint مربوطه با یک کوکی جلسه ضعیف احراز هویت می‌شود که فاقد ویژگی SameSite است. یک مهاجم می‌تواند با صفحات وب مخرب مدیری که وارد جلسه شده را وادار به ارسال درخواست‌های POST کند و دستگاه را ریبوت و ارتباط ماهواره‌ای را مختل نماید؛ تکرار این عملیات می‌تواند باعث حالت انکار سرویس شود.
- CVE-2026-38056: یک آسیب‌پذیری ارتقای امتیاز محلی در firmware مشخص (مثلاً ذکر شده 23.0.1.0 برای iQ200) وجود دارد. دستگاه از کارخانه با حساب کاربری محلی با سطح دسترسی پایین برای تکنسین‌ها تأمین می‌شود که برای دسترسی اولیه کافی است و نیازی به کسب اعتبارنامه اضافی یا حمله بروت‌فورس ندارد؛ مهاجم محلی با این حساب می‌تواند سطح دسترسی را ارتقا دهد.
- CVE-2026-38058: یک endpoint تنظیمات کامل دستگاه را به‌صورت JSON بازمی‌گرداند که شامل بخش SECURITY و هش‌های رمز عبور (MD5-crypt) برای حساب‌های SSH و مدیریت وب است. هر کاربر دارای اعتبار وب می‌تواند این هش‌ها را استخراج کرده و خارج از شبکه با سخت‌افزار معمولی آنها را کرک نماید.
اقدامات توصیه‌شده (طبق CISA و ارائه‌دهنده):
- هرچه سریع‌تر به نسخه نرم‌افزاری 4.5.3.0 یا جدیدتر ارتقا دهید. پچ‌ها برای کاربران ثبت‌شده در پورتال iDirect قابل دانلود است.
- رابط‌های مدیریتی و APIهای مدیریتی را تنها در شبکه‌های مورد اعتماد قرار دهید (مثلاً پشت VPN یا ACL) و از قرار گرفتن آنها در اینترنت عمومی خودداری کنید.
- احراز هویت قوی را اعمال کنید و سیاست‌های مدیریت حساب را بازبینی کنید؛ حساب‌های پیش‌پیکربندی کارخانه را مجدداً بررسی یا غیرفعال کنید چنانچه ضرورت ندارد.
- لاگ‌ها و فعالیت API را برای نشانه‌های غیرعادی و ریبوت‌های ناخواسته پایش کنید.
- انجام تحلیل ریسک و بررسی تأثیر پیش از اعمال تغییرات دفاعی را فراموش نکنید.
خلاصه تحلیلی مستقل: این مجموعه آسیب‌پذیری‌ها ترکیبی از افشای اطلاعات حساس، ضعف در کنترل‌های وب (CSRF)، نبود مجوز مناسب و ضعف محافظت از اعتبارها را نشان می‌دهد که در دستگاه‌های ارتباطیِ حوزه‌های حیاتی (ارتباطات، انرژی، حمل‌ونقل، دفاع و خدمات دولتی) خطر جدی ایجاد می‌کند. موارد کلیدی که باید لحاظ شود:
- افشای DID و TPK می‌تواند به مهاجمان امکان شناسایی شبکه و حتی جعل هویت ترمینال را بدهد؛ در شبکه‌های ماهواره‌ای که ترمینال‌ها اغلب برای شناسایی استفاده می‌شوند، این موضوع می‌تواند زنجیره اعتماد را نقض کند.
- ضعف CSRF و عدم تنظیمات حفاظتی کوکی می‌تواند در ترکیب با مهندسی اجتماعی باعث اختلالات عملیاتی (قطع ارتباط) شود، خصوصاً در محیط‌هایی که ادمین‌ها از مرورگر برای مدیریت استفاده می‌کنند.
- وجود حساب‌های کارخانه‌ای با دسترسی برای تکنسین و امکان ارتقای امتیاز محلی، در محیط‌های با دسترسی فیزیکی یا عملکردهای نگهداری، احتمال خطر را بالا می‌برد.
- برگشتن هش‌های رمز عبور (MD5-crypt) به مشتری باعث می‌شود که حتی دسترسی‌های سطح پایین به سرعت به دسترسی‌های مدیریتی تبدیل شوند اگر هش‌ها قابل کرک باشند.
سازمان‌ها باید ابتدا به‌روزرسانی‌ها را اعمال کنند و در عین حال سطح دسترسی شبکه به ترمینال‌ها را محدود کنند. این مورد نمونه‌ای از ریسک‌های مرتبط با دستگاه‌هایی با قابلیت اتصال مستقیم به شبکه است که نیازمند فرآیند مدیریت آسیب‌پذیری و سخت‌سازی ویژه می‌باشند.
منبع: اطلاعیه CISA Cybersecurity Advisories (ویرایش Update A؛ انتشار اولیه 2026-07-02، به‌روزرسانی 2026-09-10).