PT-G503 系列固件版本 5.2 及更早版本存在多个漏洞，包括旧版 jQuery、弱密码套件和不安全的 Web Cookie。使用旧版 jQuery和弱密码套件，以及未正确设定会话 Cookie 属性，可能让您面临诸多安全风险，如跨站脚本 (XSS) 攻击、原型污染、数据泄露、未经授权访问用户会话等。

确定的漏洞类型和潜在影响如下所示：

受影响的产品:

受影响的产品和固件版本如下所示：

解决方案:

Moxa 已针对 CVE-2005-4900、CVE-2015-9251、CVE-2019-11358、CVE-2020-11022 和 CVE-2020-11023 开发相应解决方案，通过更新 jQuery 版本和移除弱密码套件解决这些漏洞。针对受影响产品的解决方案如下所示：

防护措施：

CVE-2023-4217 和 CVE-2023-5035 风险等级较低，与此同时，由于某些传统应用场景仍需 HTTP 协议，很难禁止 HTTP 连接。为缓解漏洞的影响，用户应在必要时谨慎使用 HTTP，还可在使用 Web 服务时尝试将 HTTP 替换成 HTTPS。另请参考下列防护措施，确保在安全状态下部署产品。

Moxa 建议用户遵循 CISA 的建议。

• 确保所有控制系统设备和系统无法通过互联网访问来减少网络暴露。
• 将控制系统网络和远程设备置于防火墙后，与业务网络隔离。
• 需要远程访问时，请使用安全方式，例如虚拟专用网络 (VPN)。要注意，VPN 可能存在漏洞，应与最新的可用版本保持同步。VPN 的安全性取决于其连接设备的安全性。

修订历史: