TN-5900 和 TN-4900 系列 Web 服务器漏洞

概述

TN-5900 和 TN-4900 系列 Web 服务器漏洞

TN-5900 系列 3.3 之前的版本和TN-4900 系列 1.2.4 之前的版本受到多个 Web 服务器漏洞的影响。不充分的输入验证会导致这些漏洞。攻击者可以通过向 Web 服务发送特制的信息来利用这些漏洞。如果成功被利用，这些漏洞可能导致拒绝服务、远程代码执行和权限提升。

确定的漏洞类型和潜在影响如下所示：

序号	漏洞类型	影响
1	授权不当 (CWE-287) CVE-2023-33237	攻击者可使用暴力破解来攻破身份验证参数。
2	对命令中使用的特殊元素中和不当（“命令注入”） (CWE-77) CVE-2023-33238, CVE-2023-33239, CVE-2023-34213, CVE-2023-34214, CVE-2023-34215	远程攻击者可通过 Web 接口在设备上执行任意命令。
3	路径名对受限目录的不当限制（“路径遍历”） (CWE-22) CVE-2023-34216, CVE-2023-34217	攻击者可创建或覆盖执行代码的关键文件，比如程序或程序库。

序号

漏洞类型

影响

授权不当 (CWE-287)

CVE-2023-33237

攻击者可使用暴力破解来攻破身份验证参数。

对命令中使用的特殊元素中和不当（“命令注入”） (CWE-77)

CVE-2023-33238, CVE-2023-33239, CVE-2023-34213, CVE-2023-34214, CVE-2023-34215

远程攻击者可通过 Web 接口在设备上执行任意命令。

路径名对受限目录的不当限制（“路径遍历”） (CWE-22)

CVE-2023-34216, CVE-2023-34217

攻击者可创建或覆盖执行代码的关键文件，比如程序或程序库。

漏洞评分信息

ID	CVSS v3.1	漏洞载体	无需身份验证即可远程利用漏洞？
CVE-2023-33237	8.8	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-33238	7.2	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-33239	8.8	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-34213	8.8	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-34214	7.2	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-34215	7.2	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	否
CVE-2023-34216	8.1	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H	否
CVE-2023-34217	8.1	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H	否

受影响产品与解决方案

受影响的产品：

受影响的产品和固件版本如下所示：

产品系列	受影响的版本
TN-5900 系列	固件版本 3.3 及更早版本 CVE-2023-33237, CVE-2023-33238, CVE-2023-33239, CVE-2023-34213, CVE-2023-34214, CVE-2023-34215, CVE-2023-34216, CVE-2023-34217
TN-4900 系列	固件版本 1.2.4 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34214, CVE-2023-34216, CVE-2023-34217
EDR-810 系列	固件版本 5.12.27 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34214
EDR-G902 系列	固件版本 5.7.17 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34214, CVE-2023-34216, CVE-2023-34217
EDR-G903 系列	固件版本 5.7.15 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34214, CVE-2023-34216, CVE-2023-34217
EDR-G9010 系列	固件版本 2.1 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34216, CVE-2023-34217
NAT-102 系列	固件版本 1.0.3 及更早版本 CVE-2023-33238, CVE-2023-33239, CVE-2023-34216, CVE-2023-34217

解决方案：

Moxa 已制定合理方案修复上述漏洞。针对受影响产品的解决方案如下所示：

产品系列	解决方案
TN-5900 系列	请升级至固件版本 3.4 或更高版本
TN-4900 系列	请升级至固件版本 3.0 或更高版本
EDR-810 系列	请升级至固件版本 5.12.29 或更高版本
EDR-G902 系列	请升级至固件版本 5.7.21 或更高版本
EDR-G903 系列	请升级至固件版本 5.7.21 或更高版本
EDR-G9010 系列	请升级至固件版本 3.0 或更高版本
NAT-102 系列	请升级至固件版本 1.0.5 或更高版本

防护措施：

尽量减少暴露于网络，以确保无法从互联网访问设备。
需要远程访问时，请使用安全方式，例如虚拟专用网络 (VPN)。

上述所有漏洞的起因都来源于 Web 服务，因此，如果已完成配置，建议暂时禁用 Web 服务，直到安装补丁或更新固件，以防止这些漏洞造成进一步损害。

已确认不受上述漏洞影响的产品：

只有此公告的“受影响的产品”部分中列出的产品会受到上述漏洞的影响。

鸣谢：

感谢 Code White 公司的 Simon Janz 报告了漏洞，与我们合力提高产品安全性，帮助我们为客户提供更好的服务。

修订历史：

版本	说明	发布日期
1.0	首次发布	2023 年 8 月 16 日
1.1	更新 TN-4900 系列解决方案	2023 年 9 月 4 日
1.2	“受影响的产品”和“解决方案”部分增加 EDR-810 系列、EDR-G902 系列、EDR-G903 系列、EDR-G9010 系列、NAT-102 系列	2023 年 10 月 20 日

工业网络基础设施

工业设备联网

工业计算

行业聚焦

聚焦新技术

助力您的 IIoT 发展

产品支持

维修&保修

资源

联系我们

关于我们

了解 Moxa

创造持久价值

加入 Moxa

产品支持

安全公告

概述

TN-5900 和 TN-4900 系列 Web 服务器漏洞

受影响产品与解决方案

受影响的产品：

解决方案：

防护措施：

已确认不受上述漏洞影响的产品：

鸣谢：

相关产品

漏洞修复

感谢注册！

{{ product.name }}

工业网络基础设施

工业设备联网

工业计算

行业聚焦

聚焦新技术

助力您的 IIoT 发展

产品支持

维修&保修

资源

联系我们

关于我们

了解 Moxa

创造持久价值

加入 Moxa

产品支持

安全公告

请登录

概述

TN-5900 和 TN-4900 系列 Web 服务器漏洞

受影响产品与解决方案

受影响的产品：

解决方案：

防护措施：

已确认不受上述漏洞影响的产品：

鸣谢：

相关产品

漏洞修复

确认您的订阅信息

感谢注册！

请勿共享我的个人信息

{{ product.name }}