Ինքնավար AI գործակալը հայտնաբերել է EPICS-ի չորս խոցելիություն, այդ թվում՝ կրիտիկական RCE թերություն

Ինքնավար AI գործակալը EPICS բաց կոդի գործիքակազմում հայտնաբերել է չորս խոցելիություն, այդ թվում՝ հեռակա կոդի կատարում թույլ տվող կրիտիկական թերություն՝ մասնիկների արագացուցիչներն ու միաձուլման փորձերը կառավարող համակարգերում։ Բոլոր չորսը ազդում են EPICS Base-ի վրա, և կազմակերպությունները պետք է թարմացնեն մինչև 7.0.11 տարբերակը, որը պարունակում է շտկումները։

Կրիտիկական և բարձր լրջության թերություններ

Ամենալուրջ խնդիրը CVE-2026-114595-ն է՝ 9,8 գնահատված (CVSS v3.1) կրիտիկական ամբողջ թվի գերհոսք։ Այն կարող է հանգեցնել հարձակվողի կողմից կառավարվող սահմաններից դուրս կույտի գրառման և հնարավոր հեռակա կոդի կատարման։ Մյուս երեքը բարձր լրջության են։ CVE-2026-114596-ը 8,2 գնահատված հաղորդագրության երկարության սխալ վավերացման թերություն է, որը առաջացնում է սահմաններից դուրս հիշողության գրառում և կառավարիչ գործընթացի վթար։ CVE-2026-114597-ը 7,5 գնահատված անբավարար սահմանների ստուգման սխալ է, որը թույլ է տալիս սահմաններից դուրս հիշողության ընթերցումներ և գործընթացների վթարներ։ CVE-2026-114598-ը 7,5 գնահատված տիպերի շփոթության թերություն է, որը կարող է հանգեցնել ծառայության մերժման և կարող է բացահայտել հարևան հիշողության պարունակությունը։

ԱՄՆ CISA-ն երեքշաբթի խորհրդատվություն է հրապարակել EPICS խոցելիությունների մասին։ CISA-ն զգուշացրել է, որ հաջող շահագործումը կարող է թույլ տալ հարձակվողին առաջացնել ծառայության մերժման վիճակ, վնասել հիշողությունը, բացահայտել զգայուն տեղեկատվություն կամ հնարավոր է կատարել կամայական կոդ։

Գործակալը սխալներ է գտել չորս ժամից պակաս ժամանակում

Causal Security ընկերության համահիմնադիր Shubham Raj ասել է, որ Cipher անունով AI գործակալը ինքնուրույն գտել է չորս նախկինում անհայտ անվտանգության բացերը։ Գործակալը հետազոտել և փորձարկել է անծանոթ EPICS համակարգը և հաստատել չորս շահագործումները երեք ժամ 49 րոպեում։ Raj ասել է, որ սկզբնական հետազոտությունը մարդկային միջամտություն չի պահանջել, ապա հետևել է մեկ հրահանգ՝ անվտանգ միջավայրում ավելի խորը շահագործելիության փորձարկում թույլատրելու համար։

Cipher գործակալը նախկինում օգտագործվել է Հյուսիսային Ամերիկայում և Եվրոպայում օգտագործվող էլեկտրական ցանցի համակարգերում բազմաթիվ կրիտիկական հարձակման ճանապարհներ գտնելու համար։ Այդ աշխատանքը հոկտեմբերի 8-ին հանգեցրել է CISA-ի անվտանգության խորհրդատվության։ Raj Cipher-ը նկարագրել է որպես լիովին ինքնավար սուպեր հաքեր, որը կարող է մտածել տեխնոլոգիական բոլոր շերտերով։

Բացահայտվածություն և թարմացման մտահոգություններ

EPICS-ը սկզբնապես մշակվել է Los Alamos National Laboratory-ի և Argonne National Laboratory-ի կողմից։ Այն օգտագործվում է բաշխված SCADA համակարգեր կառուցելու և հեռակա կառավարելու համար, որոնք օպերատորներին կապում են ֆիզիկական սարքերի հետ։ Գործիքակազմը օգտագործվում է մոտ 90 խոշոր գիտական, համալսարանական և արդյունաբերական նախագծերում և օբյեկտներում ամբողջ աշխարհում, այդ թվում՝ Argonne National Laboratory-ի Advanced Photon Source-ում և ITER-ի միաձուլման ռեակտորի կառավարման համակարգում։

Raj ասել է, որ իրական գիտական օբյեկտում այս խոցելիությունները շահագործելու նախապայմանը կառավարման ցանցում խոցելի EPICS ծառայություններին հասանելիությունն է։ Սա կարող է տեղի ունենալ, եթե ցանցերը բավարար չափով չեն բաժանված կամ եթե մեկ այլ համակարգ ունի մուտք դեպի խոցելի EPICS ցանց։ Նա ավելացրել է, որ շահագործումը չի պահանջի օպերացիոն տեխնոլոգիաների խորը գիտելիքներ կամ հասկացողություն՝ ինչպես են աշխատում մասնիկների արագացուցիչները կամ միաձուլման ռեակտորները։ Raj նշել է, որ սովորական շահագործման հմտություններ ունեցող մարդը կարող է հետազոտել թերությունները, և ավելի ու ավելի ընդունակ AI համակարգերը կարող են օգնել մշակել շահագործումներ՝ առանց մասնագիտացված OT փորձառության։

Raj ասել է, որ հարձակվողը պետք չէ հասկանալ մասնիկների արագացուցիչի ֆիզիկան՝ այն կառավարող ծրագրային ապահովումը խաթարելու համար։ Կրիտիկական գործընթացների վթարը կամ մոնիտորինգի և կառավարման ընդհատումը արդեն կարող են ունենալ լուրջ օպերացիոն հետևանքներ։ Թերությունները նաև ցույց են տալիս, թե ինչպես են AI գործակալները արդյունավետ խոցելիություններ գտնում արդյունաբերական և օպերացիոն տեխնոլոգիական համակարգերում, որոնք ժամանակին ապավինում էին անհայտությանը՝ պաշտպանության համար։

Աղբյուրներ՝ The Register