ავტონომიურმა AI აგენტმა EPICS-ის ოთხი დაუცველობა იპოვა, მათ შორის კრიტიკული RCE ხარვეზი

ავტონომიურმა AI აგენტმა EPICS-ის ღია კოდის პროგრამულ ხელსაწყოებში ოთხი დაუცველობა აღმოაჩინა, მათ შორის კრიტიკული ხარვეზი, რომელმაც შესაძლოა ნაწილაკების ამაჩქარებლებისა და შერწყმის ექსპერიმენტების მართვის სისტემებზე დისტანციური კოდის შესრულება შესაძლებელი გახადოს. ოთხივე ეხება EPICS Base-ს და ორგანიზაციებმა უნდა განაახლონ 7.0.11 ვერსიამდე, რომელიც შესწორებებს შეიცავს.

კრიტიკული და მაღალი სიმძიმის ხარვეზები

ყველაზე სერიოზული პრობლემაა CVE-2026-114595, კრიტიკული მთელი რიცხვის გადავსება, რომელსაც CVSS v3.1-ის მიხედვით 9,8 ქულა აქვს. ის შეიძლება გამოიწვიოს თავდამსხმელის მიერ კონტროლირებადი heap-ის საზღვრებს გარეთ ჩაწერა და პოტენციურად დისტანციური კოდის შესრულება. დანარჩენი სამი ხარვეზი მაღალი სიმძიმისაა. CVE-2026-114596 არის 8,2 ქულის მქონე შეტყობინების სიგრძის არასწორი ვალიდაციის ხარვეზი, რომელიც იწვევს მეხსიერების საზღვრებს გარეთ ჩაწერას და კონტროლერის პროცესის კრახს. CVE-2026-114597 არის 7,5 ქულის მქონე საზღვრების არასაკმარისი შემოწმების შეცდომა, რომელიც იწვევს მეხსიერების საზღვრებს გარეთ წაკითხვასა და პროცესების კრახს. CVE-2026-114598 არის 7,5 ქულის მქონე ტიპების არევის ხარვეზი, რომელიც შეიძლება გამოიწვიოს სერვისზე უარის თქმა და შესაძლოა გამოავლინოს მეზობელი მეხსიერების შიგთავსი.

აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ სამშაბათს გამოაქვეყნა გაფრთხილება EPICS-ის დაუცველობების შესახებ. CISA-მ გააფრთხილა, რომ წარმატებულმა ექსპლუატაციამ შეიძლება თავდამსხმელს საშუალება მისცეს გამოიწვიოს სერვისზე უარის თქმის მდგომარეობა, დააზიანოს მეხსიერება, გაამჟღავნოს სენსიტიური ინფორმაცია ან პოტენციურად შეასრულოს თვითნებური კოდი.

აგენტმა ხარვეზები ოთხ საათზე ნაკლებ დროში იპოვა

Causal Security-ის თანადამფუძნებელმა შუბჰამ რაჯმა განაცხადა, რომ Cipher-ის სახელწოდების AI აგენტმა დამოუკიდებლად იპოვა ოთხივე მანამდე უცნობი უსაფრთხოების ხარვეზი. აგენტმა გამოიკვლია და შეამოწმა უცხო EPICS სისტემა და სამ საათსა და 49 წუთში დაადასტურა ოთხივე ექსპლუატი. რაჯმა თქვა, რომ თავდაპირველი გამოკვლევა ადამიანის ჩარევას არ საჭიროებდა, რასაც მოჰყვა ერთი მითითება, რომელიც უფლებას აძლევდა უფრო ღრმა ექსპლუატაციის ტესტირებას უსაფრთხო გარემოში.

Cipher-ი ადრე გამოიყენებოდა ჩრდილოეთ ამერიკასა და ევროპაში გამოყენებულ ელექტროქსელის სისტემებში მრავალი კრიტიკული თავდასხმის გზის მოსაძებნად. ამ სამუშაოს შედეგად CISA-მ 8 ოქტომბერს უსაფრთხოების გაფრთხილება გამოსცა. რაჯმა Cipher-ი აღწერა როგორც სრულად ავტონომიური სუპერ ჰაკერი, რომელსაც შეუძლია მსჯელობა ტექნოლოგიური სტეკის ყველა დონეზე.

რისკები და განახლების საკითხები

EPICS თავდაპირველად ლოს ალამოსის ეროვნულმა ლაბორატორიამ და არგონის ეროვნულმა ლაბორატორიამ შეიმუშავეს. ის გამოიყენება განაწილებული SCADA სისტემების შესაქმნელად და დისტანციურად სამართავად, რომლებიც ოპერატორებს ფიზიკურ მოწყობილობებთან აკავშირებენ. ხელსაწყოები გამოიყენება მსოფლიოში დაახლოებით 90 მსხვილ სამეცნიერო, საუნივერსიტეტო და ინდუსტრიულ პროექტსა და ობიექტში, მათ შორისაა არგონის ეროვნული ლაბორატორიის Advanced Photon Source და ITER-ის შერწყმის რეაქტორის მართვის სისტემა.

რაჯმა თქვა, რომ რეალურ სამეცნიერო ობიექტში ამ დაუცველობების ექსპლუატაციის წინაპირობაა საკონტროლო ქსელში დაუცველ EPICS სერვისებზე წვდომის მიღების შესაძლებლობა. ეს შეიძლება მოხდეს, თუ ქსელები საკმარისად არ არის სეგმენტირებული ან თუ სხვა სისტემას აქვს წვდომა დაუცველ EPICS ქსელზე. მან დასძინა, რომ ექსპლუატაცია არ მოითხოვდა ოპერაციული ტექნოლოგიების ღრმა ცოდნას ან იმის გაგებას, თუ როგორ მუშაობენ ნაწილაკების ამაჩქარებლები ან შერწყმის რეაქტორები. რაჯმა აღნიშნა, რომ ჩვეულებრივი ექსპლუატაციის უნარების მქონე ადამიანს შეეძლო ამ ხარვეზების გამოკვლევა, ხოლო სულ უფრო ძლიერ AI სისტემებს შეეძლოთ დაეხმარათ ექსპლუატების შემუშავებაში სპეციალიზებული OT გამოცდილების გარეშე.

რაჯის თქმით, თავდამსხმელს არ სჭირდება ნაწილაკების ამაჩქარებლის ფიზიკის გაგება, რათა ჩაშალოს მისი მართვის პროგრამული უზრუნველყოფა. კრიტიკული პროცესების კრახმა ან მონიტორინგისა და მართვის შეწყვეტამ უკვე შეიძლება სერიოზული ოპერაციული შედეგები გამოიწვიოს. ეს ხარვეზები ასევე აჩვენებს, რამდენად ეფექტური არიან AI აგენტები ინდუსტრიულ და ოპერაციული ტექნოლოგიების სისტემებში დაუცველობების პოვნაში, რომლებიც ადრე დაცვისთვის ბუნდოვანებას ეყრდნობოდნენ.

წყაროები: The Register