В промышленных коммутаторах Moxa обнаружены критические уязвимости

Компания Moxa предупредила пользователей о более чем десяти опасных и критических уязвимостях в промышленных Ethernet-коммутаторах IKS и EDS. Их эксплуатация позволяет похитить конфиденциальную информацию, удаленно выполнить код, внести произвольные изменения в конфигурации, обойти аутентификацию, перезагрузить устройство, вызвать сбой в работе или полностью скомпрометировать его.

Проблемы затрагивают модели серий IKS-G6824A (версия 5.6 и младше), EDS-405A (версия 3.8 и младше), EDS-408A (версия 3.8 и младше) и EDS-510A (версия 3.8 и младше). Степень опасности наиболее серьезных уязвимостей варьируется от 9,1 до 9,8 балла по шкале CVSS v3.

В коммутаторах EDS содержатся уязвимости, связанные с хранением пароля в незашифрованном виде (CVE-2019-6518), возможностью прогнозирования на основе наблюдаемого состояния (CVE-2019-6563), отсутствием шифрования критичных данных (CVE-2019-6526), некорректным ограничением количества неудачных попыток аутентификации (CVE-2019-6524) и неконтролируемым использованием ресурсов (CVE-2019-6559).

Проблемы в коммутаторах IKS связаны с копированием содержимого буфера без проверки размера входных данных (CVE-2019-6557), чтением за пределами буфера (CVE-2019-6522), неконтролируемым использованием ресурсов (CVE-2019-6559), межсайтовым выполнением сценариев (CVE-2019-6565), некорректным управлением доступом (CVE-2019-6520) и подделкой межсайтового запроса (CVE-2019-6561).

Патчи, устраняющие вышеуказанные проблемы, доступны на сайте производителя.