Múltiples vulnerabilidades en equipos OnCell de Moxa
Fecha de publicación 13/02/2020
Importancia
5 - Crítica
Recursos Afectados
- Moxa OnCell G3470A-LTE Series, versiones de firmware 1.6 o anteriores.
- Moxa OnCell G3100-HSPA Series, versiones de firmware:
- 1.4 o anteriores para las vulnerabilidades con identificadores CVE-2018-11420, CVE-2018-11423 y CVE-2018-11424;
- 1.7 o anteriores para las vulnerabilidades con identificadores CVE-2018-11426, CVE-2018-11427, CVE-2018-11421 y CVE-2018-11422.
Descripción
Alexander Zaytsev, de Kaspersky Lab, ha reportado múltiples de tipo restricción impropia de operaciones, consumo de recursos no controlado, desreferencia del puntero NULL, autenticación inapropiada, CSRF, divulgación de información y control de acceso inadecuado, que afectan a los productos OnCell G3470A-LTE Series y OnCell G3100-HSPA Series de Moxa.
Solución
- Para OnCell G3470A-LTE Series, descargar la última versión de firmware del producto.
- Para OnCell G3100-HSPA Series:
- descargar la última versión de firmware del producto para solucionar las vulnerabilidades con identificadores CVE-2018-11420, CVE-2018-11423, CVE-2018-11424, CVE-2018-11426 y CVE-2018-11427;
- añadir mecanismos de seguridad como soluciones VPN punto a punto, únicamente cuando están activadas las funcionalidades OnCell Search Utility y OnCell Central Manager en el producto afectado, para solucionar las vulnerabilidades con identificadores CVE-2018-11421 y CVE-2018-11422.
Detalle
Un atacante que aprovechara alguna de las vulnerabilidades críticas descritas en este aviso podría llegar a realizar alguna de las siguientes acciones:
- denegación de servicio,
- ejecución remota de código,
- ataques de fuerza bruta contra parámetros de autenticación,
- suplantar acciones administrativas a través de la interfaz web,
- obtención de información sensible,
- modificar configuraciones y subir firmware.
Se han asignado los siguientes identificadores: CVE-2018-11420, CVE-2018-11421, CVE-2018-11422, CVE-2018-11423, CVE-2018-11424, CVE-2018-11425, CVE-2018-11426 y CVE-2018-11427.
Listado de referencias
Etiquetas