Múltiples vulnerabilidades en Serial Device Servers de Moxa

Fecha de publicación 17/06/2026

Identificador

INCIBE-2026-432

Importancia

4 - Alta

Recursos Afectados

Serial Device Servers de Moxa:

NPort 6000 Series;
NPort 6100/6200 Series;
NPort 6400/6600 Series;
CN2600 Series;
NPort 6000-G2 Series;
NPort 6100-G2/6200-G2 Series;
NPort 6400-G2 Series;
NPort 6600-G2 Series;
NPort W2150A/W2250A Series;
NPort W2150A-W4/W2250-W4 Series.

Versiones afectadas:

Firmware v2.3 y anteriores;
Firmware v4.6 y anteriores;
Firmware v1.1.0 y anteriores;
Firmware v1.5 y anteriores;

Descripción

Artur Witek y Remi ONNO junto a Moxa han publicado 4 vulnerabilidades: 2 de severidad alta y 2 medias que, en caso de ser explotadas, podrían permitir a un atacante provocar una denegación de servicio (DoS), acceder a información sensible, ejecutar código arbitrario con privilegios elevados o alterar el funcionamiento de los dispositivos afectados.

Solución

El fabricante recomienda actualizar los dispositivos afectados a las versiones de firmware corregidas:

NPort 6000-G2 / 6100-G2 / 6200-G2 / 6400-G2 / 6600-G2: actualizar a firmware v1.2.0 o posterior.
NPort W2150A-W4-W2250A-W4: actualizar a firmware v1.5.1 o posterior.
CN2600: aplicar el parche de seguridad v4.6.11.
NPort 6000 / 6100 / 6200 / 6400 / 6600: aplicar el parche de seguridad v2.3.9.

Detalle

CVE-2026-10829: un desbordamiento de búfer basado en pila podría permitir a un atacante remoto autenticado ejecutar código arbitrario con privilegios de root, comprometiendo la confidencialidad, integridad y disponibilidad del dispositivo afectado.
CVE-2026-10825: validación insuficiente de entradas en la API WebSocket podría permitir a un atacante autenticado con privilegios bajos enviar solicitudes manipuladas y provocar una denegación de servicio (DoS) o un reinicio inesperado del dispositivo.
CVE-2026-10831: una autorización incorrecta en los comandos de señal break podría permitir a un atacante remoto no autenticado interrumpir comunicaciones serie activas y provocar una denegación de servicio (DoS).
CVE-2026-10828: vulnerabilidad de cadena de formato controlada externamente podría permitir a un atacante autenticado obtener información de memoria sensible y facilitar la evasión de mecanismos de protección del sistema.

CVE