此安全公告旨在修補 Moxa 網路安全設備和路由器中的 5 個安全漏洞。
CVE-2025-6892
Moxa 網路安全設備和路由器出現了一個授權錯誤漏洞。在 API 驗證機制中的一個缺陷，允許對受保護的 API 端點進行未經授權的存取，其中包括那些用於管理功能的端點。因系統無法正確驗證連線內容或權限邊界，此安全漏洞可在合法使用者登入後被利用。攻擊者可利用此漏洞執行未經授權的特權操作。此漏洞雖然會對受影響設備的機密性、完整性與可用性造成嚴重衝擊，但並不會波及後續其他系統的機密性或完整性。
CVE-2025-6893
Moxa 網路安全設備和路由器出現了一個以不必要的權限執行漏洞。在受影響設備的 /api/v1/setting/data 端點中出現存取控制缺陷，此漏洞允許已驗證的低權限使用者，在沒有所需權限的情況下呼叫 API，進而存取或修改系統配置資料。成功利用此漏洞可提升權限，允許攻擊者存取或修改機密的系統設定。雖然整體影響很大，但並不會波及後續系統的機密性或完整性。
CVE-2025-6894
Moxa 網路安全設備和路由器出現了一個以不必要的權限執行漏洞。在受影響設備的 API 授權邏輯中存在缺陷，允許已驗證的低權限使用者執行僅限管理員角色專用的 `ping` 功能。使用者可利用此安全漏洞執行內部網路偵察，以便找出原本無法存取的內部主機或服務。重複的攻擊僅消耗極少的資源。雖然整體影響不大，但可能會導致受影響設備的機密性和可用性。此安全漏洞不會影響到設備的完整性，安全漏洞也不會影響任何後續系統。
CVE-2025-6949
Moxa 網路安全設備和路由器出現了一個以不必要的權限執行漏洞。在 API 中存在一個嚴重授權缺陷，允許已驗證的低權限使用者能夠建立新的管理員帳號，包括使用者名稱與現有使用者相同的帳號。在某些情況下，攻擊者可利用此安全漏洞取得受影響設備的完整管理控制權，從而導致潛在的帳號冒用。此漏洞雖然會對受影響設備的機密性、完整性與可用性造成嚴重衝擊，但並不會波及後續其他系統的機密性或完整性。
CVE-2025-6950
Moxa 網路安全設備和路由器出現一個使用寫死憑證漏洞。該系統使用寫死的密鑰來簽署用於驗證的 JSON Web Token（JWT）。這種不安全的部署方式，允許未經身分驗證的攻擊者能夠偽造有效的權杖，進而繞過身分驗證控制並冒充任何使用者。攻擊者可利用此安全漏洞，全面入侵系統、進行未經授權的存取、資料竊取，以及對受影響設備進行全面的管理控制。此漏洞雖然會對受影響設備的機密性、完整性與可用性造成嚴重衝擊，但並不會波及後續其他系統的機密性或完整性。
鑑於這些安全漏洞的嚴重性，我們強烈建議使用者立即安裝最新的韌體更新，以消除相關的安全風險。
已確認的安全漏洞類型和潛在影響
| CVE ID |
安全漏洞類型 |
影響 |
| CVE-2025-6892 |
CWE-863：
授權錯誤
|
CAPEC-39：
操控不通透的用戶端資料權杖
|
| CVE-2025-6893 |
CWE-250：
以不必要的權限執行
|
CAPEC-233：
權限提升
|
| CVE-2025-6894 |
CWE-250：
以不必要的權限執行
|
CAPEC-233：
權限提升
|
| CVE-2025-6949 |
CWE-250：
以不必要的權限執行
|
CAPEC-233：
權限提升
|
| CVE-2025-6950 |
CWE-798：
使用寫死的憑證
|
CAPEC-37：
檢索嵌入的機密資料
|
安全漏洞評分詳情
|
CVE ID
|
評分
|
向量
|
嚴重性 |
未經身分驗證的
遠端攻擊
|
| CVE-2025-6892 |
CVSS:4.0: 8.7
|
AV:N/AC:L/AT:P/PR:N/UI:P/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:H
|
高 |
是 |
| CVE-2025-6893 |
CVSS:4.0: 9.3 |
AV:N/AC:L/AT:N/PR:L/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:H
|
高 |
否 |
| CVE-2025-6894 |
CVSS:4.0: 5.3 |
AV:N/AC:L/AT:N/PR:L/UI:N/
VC:L/VI:N/VA:L/SC:N/SI:N/SA:N
|
中 |
否 |
| CVE-2025-6949 |
CVSS:4.0: 9.3 |
AV:N/AC:L/AT:N/PR:L/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:H
|
高 |
否 |
| CVE-2025-6950 |
CVSS:4.0: 9.9 |
AV:N/AC:L/AT:N/PR:N/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:H
|
高 |
是 |