本安全公告针对工业计算机中发现的两处漏洞。

CVE-2026-0714

部分 Moxa 工业计算机存在物理攻击漏洞。在这些计算机中，Moxa Industrial Linux 3 采用基于 TPM 的 LUKS 全盘加密技术，且离散 TPM 通过 SPI 总线连接至 CPU。利用此漏洞需进行侵入式物理访问，具体步骤包括打开设备，将外部设备连接至 SPI 总线，以获取 TPM 通信数据。若成功，攻击者可能利用所获数据，离线解密 eMMC 内容。这类攻击无法通过短暂或偶然的物理访问实现，而需要长时间物理访问、持有设备、相应的工具以及充足的信号捕捉和分析时间。远程利用此漏洞几无可能。

CVE-2026-0715

运行 Moxa Industrial Linux Secure 的 Moxa ARM 架构工业计算机使用设备自带的唯一启动装载密码。获得设备物理访问权限的攻击者可利用此信息，经串口访问启动装载菜单。访问启动装载菜单不会导致系统全面接管或权限提升。启动装载程序执行数字签名验证，且仅允许烧录 Moxa 签名的镜像。因此，攻击者无法安装恶意固件或执行任意代码。主要影响仅限于重新烧录有效镜像时，可能发生暂时拒绝服务状况。远程利用此漏洞几无可能。

由于这些问题属于高风险等级，用户应立即执行解决方案，以降低安全风险。

已识别的漏洞类型和潜在影响如下所示

漏洞评分信息

解决方案

Moxa 已制定合理方案修复上述漏洞。针对受影响产品的解决方案如下表所示：

鸣谢

感谢 Cyloq 报告了漏洞，与我们合力提高产品安全性，帮助我们为客户提供更好的服务。

修订历史