Критические уязвимости в промышленных коммутаторах Moxa

[darask]

Корпорация Moxa предупредила пользователей о более ряде опасных и серьёзных уязвимостях в своих промышленных Ethernet-коммутаторах IKS и EDS. Данные уязвимости дают по сути полный контроль над коммутаторами, а точнее: позволяют возможность похитить конфиденциальную информацию, удаленно выполнить код, внести любые изменения в настройки, обойти аутентификацию, произвести перезагрузку устройства, вызвать нарушения в работе или полностью скомпрометировать его.

Уязвимости относятся к моделям серий IKS-G6824A (версия 5.6 и ниже), EDS-405A (версия 3.8 и ниже), EDS-408A (версия 3.8 и ниже) и EDS-510A (версия 3.8 и ниже). Уровень опасности самых крупных уязвимостей достигает от 9,1 до 9,8 балла по шкале CVSS v3.

Список уязвимостей, которые содержатся в коммутаторах EDS:
- хранение пароля в незашифрованном виде ( CVE-2019-6518 )
- возможность прогнозирования на основе наблюдаемого состояния ( CVE-2019-6563 )
- отсутствие шифрования критичных данных ( CVE-2019-6526 )
- некорректное ограничение количества неудачных попыток аутентификации ( CVE-2019-6524 )
- неконтролируемое использование ресурсов ( CVE-2019-6559 )

Список уязвимостей, которые содержатся в коммутаторах IKS:
- копирование содержимого буфера без проверки размера входных данных ( CVE-2019-6557 )
- чтение за пределами буфера ( CVE-2019-6522 )
- неконтролируемое использование ресурсов ( CVE-2019-6559 )
- межсайтовое выполнение сценариев ( CVE-2019-6565 )
- некорректное управление доступом ( CVE-2019-6520 )
- подделка межсайтового запроса ( CVE-2019-6561 )

Патчи для устранения всех указанных уязвимостей уже доступны для скачки на сайте производителя.