CVE-2021-32976

Buffer overflow w serwerze WWW Moxa NPort IAW5000A-I/O — RCE i DoS

CVSS 9.8v3.1pub. 2022-04-01upd. 2024-11-21

W wbudowanym serwerze WWW urządzeń Moxa NPort IAW5000A-I/O wykryto pięć podatności typu buffer overflow, które mogą umożliwić zdalnemu atakującemu wykonanie dowolnego kodu lub wywołanie odmowy usługi. Podatność posiada ocenę CVSS 9.8 (CRITICAL) i nie wymaga żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

Five buffer overflows in the built-in web server in Moxa NPort IAW5000A-I/O series firmware version 2.2 or earlier may allow a remote attacker to initiate a denial-of-service attack and execute arbitrary code.

🤖 Analiza AI

Jak działa

Podatności sklasyfikowane jako CWE-121 (stack-based buffer overflow) i CWE-787 (zapis poza granicami bufora) wynikają z braku odpowiedniej walidacji danych wejściowych w wbudowanym serwerze WWW urządzenia. Atakujący może wysłać specjalnie spreparowane żądania sieciowe, które przepełniają bufory na stosie, nadpisując krytyczne obszary pamięci. Pięć niezależnych podatności tego typu zwiększa powierzchnię ataku i możliwości eksploitacji.

Skutki

Zdalny atakujący bez uwierzytelnienia może wykonać dowolny kod na urządzeniu (RCE) lub spowodować jego niedostępność poprzez atak typu denial-of-service. Skuteczna eksploitacja daje pełną kontrolę nad urządzeniem przemysłowym.

Mitygacja

Należy zaktualizować firmware urządzeń do wersji nowszej niż 2.2, zgodnie z zaleceniami producenta dostępnymi w oficjalnym biuletynie bezpieczeństwa Moxa oraz poradniku CISA ICS-CERT ICSA-21-187-01. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu WWW urządzeń, np. poprzez segmentację sieci lub firewall.

Kogo dotyczy

Moxa NPort IAW5000A-I/O series (modele: NPort IAW5150A-6I/O, NPort IAW5150A-12I/O, NPort IAW5250A-6I/O oraz pokrewne) z wersją oprogramowania firmware 2.2 lub wcześniejszą.

Uwagi

Podatność dotyczy urządzeń stosowanych w środowiskach przemysłowych (ICS/OT). Poradnik bezpieczeństwa CISA nosi oznaczenie ICSA-21-187-01. Pomimo krytycznej oceny CVSS, podatność nie figuruje w bazie CISA KEV.