Johnson Controls Airwall Vulnerabilities: Hard-coded Keys and Arbitrary File Read
Johnson Controls has identified two security vulnerabilities in its Airwall product that could allow attackers to access sensitive data or read files they should not be able to see. Users are strongly advised to update their Airwall software to version 4.1.0 or later.
English Brief
Johnson Controls has identified two security vulnerabilities in its Airwall product that could allow attackers to access sensitive data or read files they should not be able to see. Users are strongly advised to update their Airwall software to version 4.1.0 or later.
الموجز العربي
ثغرات في منتج Johnson Controls Airwall: مفاتيح مشفرة ثابتة وقراءة ملفات غير مصرح بها
حددت شركة Johnson Controls ثغرتين أمنيتين في منتج Airwall الخاص بها، مما قد يسمح للمهاجمين بالوصول إلى بيانات حساسة أو قراءة ملفات لا ينبغي لهم الوصول إليها. يُنصح المستخدمون بشدة بتحديث برنامج Airwall إلى الإصدار 4.1.0 أو أحدث.
- 1Update all Johnson Controls Airwall instances to version 4.1.0 or later.
- 2Audit and rotate all cryptographic keys used by the Airwall application.
- 3Restrict access to the Airwall management interfaces via firewalls/VPNs.
English Advisory
// Intelligence Summary
Johnson Controls has disclosed two critical vulnerabilities affecting Airwall versions 4.0.4 and earlier: CVE-2026-64887 (Hard-coded Cryptographic Key) and CVE-2026-34492 (External Control of File Name or Path). These vulnerabilities pose a significant risk to data confidentiality and integrity, potentially enabling unauthorized access to configuration files, credentials, and cryptographic material.
التقرير العربي
// ملخص استخباراتي
كشفت شركة Johnson Controls عن ثغرتين أمنيتين تؤثران على إصدارات Airwall 4.0.4 وما قبلها: CVE-2026-64887 (استخدام مفاتيح تشفير ثابتة) و CVE-2026-34492 (التحكم الخارجي في أسماء الملفات أو المسارات). تشكل هذه الثغرات خطراً جسيماً على سرية البيانات وسلامتها، مما قد يتيح الوصول غير المصرح به إلى ملفات الإعدادات، ووثائق الاعتماد، والمواد المشفرة.
// Technical Context
CVE-2026-64887 involves the use of hard-coded cryptographic keys within the application, allowing an attacker with access to the code or binaries to decrypt protected data. CVE-2026-34492 is an arbitrary file read vulnerability caused by insufficient validation of user-supplied paths, allowing directory traversal to access unauthorized filesystem locations.
// السياق التقني
تتضمن ثغرة CVE-2026-64887 استخدام مفاتيح تشفير ثابتة (hard-coded) داخل التطبيق، مما يسمح للمهاجم الذي لديه حق الوصول إلى الكود أو الملفات الثنائية بفك تشفير البيانات المحمية. أما ثغرة CVE-2026-34492 فهي ثغرة قراءة ملفات عشوائية ناتجة عن عدم كفاية التحقق من المسارات المقدمة من المستخدم، مما يسمح بالتنقل عبر المجلدات (directory traversal) للوصول إلى مواقع غير مصرح بها في نظام الملفات.
// Exposure Notes
Affected environments include deployments globally, particularly in critical manufacturing, energy, and government sectors. The vulnerabilities enable attackers to bypass authentication and gain unauthorized visibility into protected system resources.
// ملاحظات حول التعرض
تشمل البيئات المتأثرة عمليات النشر العالمية، وخاصة في قطاعات التصنيع الحساسة، والطاقة، والخدمات الحكومية. تُمكّن هذه الثغرات المهاجمين من تجاوز ضوابط المصادقة والحصول على وصول غير مصرح به إلى موارد النظام المحمية.
// Defensive Priority
Immediate patching to version 4.1.0 or higher is the primary requirement. Organizations should also implement secure key management practices, including key rotation and moving away from hard-coded secrets. Network segmentation and strict firewall policies should be employed to reduce exposure of Airwall interfaces.
// الأولوية الدفاعية
يعد التحديث الفوري إلى الإصدار 4.1.0 أو أعلى المطلب الأساسي. يجب على المؤسسات أيضاً تنفيذ ممارسات آمنة لإدارة المفاتيح، بما في ذلك تدوير المفاتيح والابتعاد عن الأسرار المضمنة في البرمجيات. يجب استخدام تقسيم الشبكة وسياسات جدار الحماية الصارمة لتقليل انكشاف واجهات Airwall.
Mitigation Checklist
- 1Update all Johnson Controls Airwall instances to version 4.1.0 or later.
- 2Audit and rotate all cryptographic keys used by the Airwall application.
- 3Restrict access to the Airwall management interfaces via firewalls/VPNs.
- 4Implement file system access logging and monitor for directory traversal patterns (e.g., ../).
- 5Review 'JCI universal hardening guide' at https://www.johnsoncontrols.com/trust-center/cybersecurity/resources
قائمة إجراءات التخفيف
- 1تحديث جميع أجهزة Johnson Controls Airwall إلى الإصدار 4.1.0 أو أحدث.
- 2تدقيق وتدوير جميع مفاتيح التشفير المستخدمة من قبل تطبيق Airwall.
- 3تقييد الوصول إلى واجهات إدارة Airwall عبر جدران الحماية أو الشبكات الافتراضية الخاصة (VPN).
- 4تنفيذ تسجيل الوصول إلى نظام الملفات ومراقبة أنماط التنقل عبر المجلدات (مثل ../).
- 5مراجعة 'دليل التحصين الشامل لـ JCI' على الرابط https://www.johnsoncontrols.com/trust-center/cybersecurity/resources
- Source: CISA Alerts
# Remediation Checklist:
# 1. Update all Johnson Controls Airwall instances to version 4.1.0 or later.
# 2. Audit and rotate all cryptographic keys used by the Airwall application.
# 3. Restrict access to the Airwall management interfaces via firewalls/VPNs.
# 4. Implement file system access logging and monitor for directory traversal patterns (e.g., ../).
# 5. Review 'JCI universal hardening guide' at https://www.johnsoncontrols.com/trust-center/cybersecurity/resources