Dos nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en productos de Moxa
- Ausencia de autenticación en sillas de ruedas eléctricas de WHILL
Múltiples vulnerabilidades en productos de Moxa
- NPort 6100-G2/6200-G2 Series: firmware v1.0.0.
- Todas las versiones de los productos de NPort 5000 Series:
- NPort 5000AI-M12 Series;
- NPort 5100 Series;
- NPort 5100A Series;
- NPort 5200 Series;
- NPort 5200A Series;
- NPort 5400 Series;
- NPort 5600 Series;
- NPort 5600-DT Series;
- NPort IA5000 Series;
- NPort IA5000A Series;
- NPort IA5000-G2 Series.
Paxon SP Lin y Cory YH Tseng, han reportado 3 vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante realizar cambios no previstos en la configuración del dispositivo, reiniciar lo inesperadamente, realizar denegaciones de servicio (DoS), ejecutar operaciones privilegiadas o acceder a recursos confidenciales del sistema.
Para el producto NPort 6100-G2/6200-G2 Series se recomienda contactar con Moxa para obtener el parche de seguridad (v1.1.0).
Para la serie de productos NPort 5000 Series, se recomienda seguir las indicaciones de mitigación del fabricante de los enlaces de las referencias.
- CVE-2025-1977: vulnerabilidad en el producto NPort 6100-G2/6200-G2 Serie de ejecución con privilegios innecesarios que permite a un usuario autenticado con acceso de solo lectura, modificar configuraciones no autorizadas mediante la herramienta MCC (Moxa CLI Configuration), aunque tenga privilegios innecesarios. Si esta vulnerabilidad se explota con éxito, es posible que un atacante tenga la capacidad de modificar la configuración del dispositivo.
- CVE-2025-2026: vulnerabilidad en el producto NPort 6100-G2/6200-G2 Serie que podría permitir a un atacante remoto ejecutar una inyección de bytes nulos a través de la API web del dispositivo, pudiendo provocar el reinicio del dispositivo y realizar ataques de denegación de servicio (DoS).
- CVE-2025-15017: vulnerabilidad en la serie de productos NPort 5000 Series donde el código de depuración activo permanece habilitado en la interfaz UART. Un atacante con acceso físico podría enlazarse a la interfaz UART y sin autenticación, interacción del usuario, ni condiciones de ejecución, obtener acceso no autorizado a la funcionalidad interna de depuración.
Ausencia de autenticación en sillas de ruedas eléctricas de WHILL
Silla de ruedas eléctrica modelo C2 y F: todas las versiones.
Billy Rios, Jesse Young, Brandon Rothel, Jonathan Butts, Henri Hein, Justin Boling, Nick Kulesza, Ken Natividad y Carl Schuettthe del equipo de desarrollo de exploits de QED Secure Solutions han informado sobre una vulnerabilidad que de ser explotada, podría permitir que un atacante dentro del alcance de Bluetooth tome el control del producto.
WHILL ha implementado una protección en el firmware de la silla de ruedas para evitar la modificación no autorizada de los perfiles de velocidad desde la aplicación móvil.
CVE-2025-14346: las sillas de ruedas no exigen autenticación para las conexiones Bluetooth. Un atacante dentro del alcance puede emparejarse con el dispositivo y emitir comandos de movimiento, anular las restricciones de velocidad y manipular los perfiles de configuración sin credenciales ni interacción del usuario.