Moxa工业互换机多个缝隙安全公告

颁布功夫 2019-03-13

缝隙编号和级别


CVE编号：CVE-2019-6557， ，，，，，，，危险级别：严沉， ，，，，，，， CVSS分值：厂商自评：9.8， ，，，，，，，官方：9.8

CVE编号：CVE-2019-6561， ，，，，，，，危险级别：高危， ，，，，，，， CVSS分值：厂商自评：9.6， ，，，，，，，官方：8.8

CVE编号：CVE-2019-6565， ，，，，，，，危险级别：中危， ，，，，，，， CVSS分值：厂商自评：9.6， ，，，，，，，官方：6.1

CVE编号：CVE-2019-6520， ，，，，，，，危险级别：高危， ，，，，，，， CVSS分值：厂商自评：9.1， ，，，，，，，官方：7.5

CVE编号：CVE-2019-6524， ，，，，，，，危险级别：严沉， ，，，，，，， CVSS分值：厂商自评：9.8， ，，，，，，，官方：9.8

CVE编号：CVE-2019-6526， ，，，，，，，危险级别：严沉， ，，，，，，， CVSS分值：厂商自评：9.8， ，，，，，，，官方未评定

CVE编号：CVE-2019-6522， ，，，，，，，危险级别：严沉， ，，，，，，， CVSS分值：厂商自评：9.1， ，，，，，，，官方：9.1

CVE编号：CVE-2019-6518， ，，，，，，，危险级别：高危， ，，，，，，， CVSS分值：厂商自评：7.5， ，，，，，，，官方：7.5

CVE编号：CVE-2019-6563， ，，，，，，，危险级别：严沉， ，，，，，，， CVSS分值：厂商自评：9.8， ，，，，，，，官方：9.8

CVE编号：CVE-2019-6559， ，，，，，，，危险级别：中危， ，，，，，，， CVSS分值：厂商自评：7.5， ，，，，，，，官方：6.5


影响领域


受影响版本： 

IKS-G6824A series Versions 4.5 and prior,

EDS-405A series Version 3.8 and prior,

EDS-408A series Version 3.8 and prior, and

EDS-510A series Version 3.8 and prior.


缝隙概述


Moxa EDS和IKS是中国台湾摩莎（Moxa）公司的工业互换机， ，，，，，，，被很多行业使用， ，，，，，，，蕴含能源部门， ，，，，，，，关键造作和运输， ，，，，，，，钻研人员发现了如下缝隙：


CVE-2019-6557

多款Moxa产品中存在缓冲区溢露马脚。。。。。。。远程攻击者可利用该缝隙执行代码。。。。。。。


CVE-2019-6561

多款Moxa产品中存在跨站要求伪造缝隙。。。。。。。远程攻击者可利用该缝隙执行未授权的操作。。。。。。。


CVE-2019-6565

多款Moxa产品中存在跨站剧本缝隙， ，，，，，，，该缝隙源于法式没有正确地验证用户输入。。。。。。。远程攻击者可利用该缝隙注入恶意的剧本。。。。。。。


CVE-2019-6520

多款Moxa产品中存在接见节造谬误缝隙， ，，，，，，，该缝隙源于法式没有正确地验证权限。。。。。。。攻击者可利用该缝隙批改配置。。。。。。。


CVE-2019-6524

多款Moxa产品中存在安全缝隙， ，，，，，，，该缝隙源于法式没有充分地限度身份验证要求的次数。。。。。。。攻击者可通过执行暴力破解攻击利用该缝隙获取密码。。。。。。。


CVE-2019-6526

多款Moxa产品中存在安全缝隙， ，，，，，，，该缝隙源于法式使用明文的大局来传递敏感数据。。。。。。。攻击者可利用该缝隙捕获敏感数据（例如：密码）。。。。。。。


CVE-2019-6522

多款Moxa产品中存在越界读取缝隙， ，，，，，，，该缝隙源于法式没有正确地验证数组天堑。。。。。。。攻击者可利用该缝隙读取肆意地址上的设备内存， ，，，，，，，进而检索敏感数据或造成设备沉启。。。。。。。


CVE-2019-6518

多款Moxa产品中存在安全缝隙， ，，，，，，，该缝隙源于法式将密码存储为明文大局。。。。。。。攻击者可利用该缝隙读取敏感信息。。。。。。。


CVE-2019-6563

多款Moxa产品中存在安全缝隙， ，，，，，，，该缝隙源于法式天生了易被预测的cookie。。。。。。。攻击者可利用该缝隙捕获治理员密码。。。。。。。


CVE-2019-6559

多款Moxa产品中存在安全缝隙。。。。。。。远程攻击者可借助特造的数据包利用该缝隙造成转换器崩溃， ，，，，，，，导致回绝服务。。。。。。。


建复建议


Moxa建议用户执行以下措施来缓解这些缝隙：

装置固件补丁。。。。。。。�？ ？？？？ ？赏ü韵铝唇酉�Moxa客户服务部门索取补�。。。。。。。ū匾锹迹�https://www.moxa.com/support/request_support.aspx。。。。。。。

禁用IKS中的Web节造台接见， ，，，，，，，并使用其他节造台， ，，，，，，，例如SNMP / Telnet / CLI。。。。。。。

将EDS系列Web配置设置为“仅https”以削减可预测的会话ID问题。。。。。。。


参考链接


https://ics-cert.us-cert.gov/advisories/ICSA-19-057-01