Podatności Moxa network security appliances and routers

W urządzeniach Moxa wykryto użycie zaszytych na stałe poświadczeń — system używa stałego klucza do podpisywania tokenów JWT. Nieuwierzytelniony atakujący może sfałszować ważne tokeny, ominąć uwierzytelnianie i podszyć się pod dowolnego użytkownika.

W urządzeniach sieciowych Moxa występuje luka autoryzacji w API, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na utworzenie nowego konta administratora, w tym o nazwie istniejącego użytkownika. Może to prowadzić do pełnej kontroli administracyjnej nad urządzeniem i podszycia się pod konto.

W urządzeniach Moxa wykryto błąd kontroli dostępu w punkcie końcowym /api/v1/setting/data. Użytkownik z niskimi uprawnieniami może wywołać API bez wymaganych uprawnień i uzyskać dostęp lub modyfikować dane konfiguracyjne systemu.

W urządzeniach sieciowych i routerach Moxa występuje błąd autoryzacji w mechanizmie uwierzytelniania API. Po zalogowaniu legalnego użytkownika system nieprawidłowo weryfikuje kontekst sesji lub granice uprawnień, co pozwala na dostęp do chronionych punktów końcowych API i wykonywanie uprzywilejowanych operacji.