Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Vulnerabilidad de inyección de comandos en NPort W2x50A de Moxa

Fecha de publicación: 30/11/2018

Importancia: Alta

Recursos afectados:

  • Moxa NPort W2x50A versiones de firmware 2.1 Build_17112017 y anteriores.

Descripción:

Se ha descubierto una vulnerabilidad de inyección de comandos en Moxa NPort V2x50A, un atacante podría inyectar comandos de sistema y conseguir ejecución de código.

Solución:

Detalle:

  • Un atacante autenticado en el servidor web podría inyectar comandos de sistema en las peticiones ping o wlan profile y enviar un paquete POST especialmente diseñado a /goform/net_WebPingGetValue o a /goform/net_WebSettingProfileSecurity, y conseguir la ejecución de código. Se han reservado los identificadores CVE-2018-19659 y CVE-2018-19660 para esta vulnerabilidad.

Etiquetas: Actualización, Vulnerabilidad