自 2022 年 6 月 15 日起,本網站不再支援 Internet Explorer。 請使用其他瀏覽器瀏覽我們的網站,以獲得最佳的瀏覽體驗。

產品支援

安全公告

摘要

EDS-405A/408A 系列存在多個網頁安全漏洞

EDS-405A 3.5 版和更早的版本,以及 EDS-408A 系列 3.6 版和更早的版本,存在多個網頁伺服器安全漏洞。這些安全漏洞是因輸入驗證不足和權限管理不當所致。攻擊者可將偽造的 HTTP 輸入傳送到網頁服務,來觸發這些安全漏洞。成功觸發漏洞後,就可以發動阻斷服務攻擊、從遠端執行程式碼,以及提升權限。

已確認的安全漏洞類型和潛在影響

項目 安全漏洞類型 影響
1

權限管理不當(CWE-269)

CVE-2015-6464

攻擊者可傳送偽造的輸入,以便提升權限。
2

不受控制的資源消耗(CWE-400)

CVE-2015-6465 

在 EDS-405A 和 EDS-408A 上運作的嵌入式 GoAhead 網頁伺服器,很容易遭受阻斷服務攻擊。
3

未適當地中止在網頁產生期間不當的輸入(「跨站腳本執行」Cross-site Scripting)(CWE-79)

CVE-2015-6466 

在管理後台的網頁介面中,某個輸入欄位未經輸入驗證,可能被惡意利用來注入 JavaScript 程式碼。

安全漏洞評分詳情

ID
CVSS v2.0 評分
向量
未經身分認證的遠端攻擊
CVE-2015-6464 

8.2

AV:N/AC:L/Au:S/C:N/I:C/A:C 
CVE-2015-6465 6.8  AV:N/AC:L/Au:S/C:N/I:N/A:C 
CVE-2015-6466 4.3  AV:N/AC:M/Au:N/C:N/I:P/A:N 
受影響的產品和解決方案

受影響的產品

下列 為受影響的產品和韌體版本。

產品系列 受影響的版本
EDS-405A 系列 韌體版本 v3.5 和更早的版本
EDS-408A 系列 韌體版本 v3.6 和更早的版本

 

解決方案

Moxa 已開發了適當的解決方案來修補安全漏洞。以下列出受影響產品的解決方案。

產品系列 解決方案
EDS-405A 系列 請升級至韌體版本 3.6 或更高的版本
EDS-408A 系列 請升級至韌體版本 3.7 或更高的版本

 

緩解措施

  • 請嚴禁使用者經由 Internet 存取設備,以便將網路遭受攻擊的風險降到最低。
  • 請使用虛擬專用網路(VPN)等安全方法來進行遠端存取。
  • 由於上述安全漏洞均源自網頁服務,我們建議您在完成配置後,暫時停用網頁服務。如此可避免這些安全漏洞在您安裝修補程式或更新韌體之前,造成進一步的破壞。

 

不受影響的產品:

只有本安全公告「受影響的產品」章節中列出的產品,才會受到此安全漏洞的影響。

 

致謝

我們要特別感謝 Applied Risk 的 Erwin Paternotte 回報這個安全漏洞,並與我們合作以增強我們的產品安全性,讓我們能為客戶提供更優質的服務。

 

修訂紀錄

版本 說明 發布日期
1.0 第一版 2024 年 6 月 27 日

相關產品

EDS-405A 系列 · EDS-408A 系列 ·

提報安全問題

如果擔心 Moxa 產品有潛在的安全漏洞,請立即通知我們,我們將盡快協助您釐清問題。

回報安全漏洞
已加入詢價列表