Firma Moxa informuje o podatnościach w swoich produktach. (P26-001)

utworzone przez | sty 5, 2026 | ICS

ProduktOprogramowanie układowe serii NPort 6100-G2/6200-G2 w wersji 1.0.0
Numer CVECVE-2025-1977
Krytyczność7.7/10
CVSSAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
OpisSeria NPort 6100-G2/6200-G2 jest narażona na lukę w zabezpieczeniach umożliwiającą wykonywanie kodu z zbędnymi uprawnieniami (CVE-2025-1977), która umożliwia uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu wprowadzanie nieautoryzowanych zmian w konfiguracji za pomocą narzędzia MCC (Moxa CLI Configuration). Lukę można wykorzystać zdalnie przez sieć, z niską złożonością ataku i bez interakcji użytkownika, ale wymaga ona spełnienia określonych warunków lub konfiguracji systemu. Udane wykorzystanie luki może skutkować zmianami w ustawieniach urządzenia, które nie były dozwolone dla danej roli użytkownika, co potencjalnie może mieć poważny wpływ na poufność, integralność i dostępność urządzenia. Nie stwierdzono wpływu na inne systemy.
  
Numer CVECVE-2025-2026
Krytyczność7.1/10
CVSSAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
OpisSeria NPort 6100-G2/6200-G2 jest dotknięta luką o wysokim stopniu zagrożenia (CVE-2025-2026), która umożliwia zdalnym atakującym wstrzyknięcie zerowego bajtu za pośrednictwem internetowego interfejsu API urządzenia. Może to doprowadzić do nieoczekiwanego ponownego uruchomienia urządzenia i doprowadzić do odmowy usługi (DoS).
  
AktualizacjaTAK
Linkhttps://www.moxa.com/en/support/product-support/security-advisory/mpsa-251731-cve-2025-1977-cve-2025-2026-multiple-vulnerabilities-in-nport-6100-g2-6200-g2-series
ProduktSeria NPort 5000
Seria NPort 5000AI-M12
Seria NPort 5100
Seria NPort 5100A
Seria NPort 5200
Seria NPort 5200A
Seria NPort 5400
Seria NPort 5600
Seria NPort 5600-DT
Seria NPort IA5000
Seria NPort IA5000A
Seria NPort IA5000-G2
Oprogramowanie układowe – wszystkie wersje
Numer CVECVE-2025-15017
Krytyczność7.0/10
CVSSAV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
OpisLuka występuje w serwerach urządzeń szeregowych, gdzie aktywny kod debugowania pozostaje włączony w interfejsie UART. Atakujący z fizycznym dostępem do urządzenia może bezpośrednio połączyć się z interfejsem UART i, bez uwierzytelnienia, interakcji użytkownika ani warunków wykonania, uzyskać nieautoryzowany dostęp do wewnętrznych funkcji debugowania. Wykorzystanie luki charakteryzuje się niską złożonością i umożliwia atakującemu wykonywanie operacji uprzywilejowanych oraz dostęp do wrażliwych zasobów systemowych, co ma duży wpływ na poufność, integralność i dostępność danego urządzenia. Nie zidentyfikowano żadnego wpływu na bezpieczeństwo systemów zewnętrznych ani zależnych.
  
AktualizacjaNIE
Linkhttps://www.moxa.com/en/support/product-support/security-advisory/mpsa-257331-cve-2025-15017-active-debug-code-vulnerability-in-serial-device-servers
ProduktSeria EDS-400
Seria EDS-500
Seria EDS-600
Seria ICS
Seria IKS
Seria MDS
Seria RKS
Seria TN-4500B
Numer CVECVE-2002-20001
Krytyczność7,5/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/ C:N/I:N/A:H
OpisProtokół uzgadniania kluczy Diffie-Hellmana umożliwia zdalnym atakującym (od strony klienta) wysyłanie dowolnych liczb, które w rzeczywistości nie są kluczami publicznymi, i uruchamianie kosztownych obliczeń DHE z wykorzystaniem potęgowania modułowego po stronie serwera, znanych również jako atak D(HE)at lub D(HE)ater. Klient potrzebuje bardzo mało zasobów procesora i przepustowości sieci. Atak może być bardziej uciążliwy, gdy klient może wymagać od serwera wybrania największego obsługiwanego rozmiaru klucza. Podstawowy scenariusz ataku wymaga, aby klient deklarował możliwości komunikacji wyłącznie za pośrednictwem DHE, a serwer musi być skonfigurowany tak, aby zezwalał na DHE.
  
AktualizacjaTAK
Linkhttps://www.moxa.com/en/support/product-support/security-advisory/mpsa-258261-cve-2002-20001-resource-exhaustion-vulnerability-in-diffie-hellman-key-exchange-protocol