<![CDATA[Moxaのセキュリティアドバイザリ]]> <![CDATA[CVE-2002-20001：ディフィー・ヘルマン鍵交換プロトコルにおけるリソース枯渇の脆弱性]]> ディフィー・ヘルマン鍵交換プロトコルの実装には、リソース枯渇の脆弱性（CVE-2002-20001）が存在します。

ディフィー・ヘルマン鍵交換プロトコルでは、リモートの攻撃者が（クライアント側から）公開鍵を装った任意の数値を送信し、サーバー側に計算コストの高いDHEモジュラー累乗計算を実行させることが可能です。この攻撃は、D(HE)atまたはD(HE)ater攻撃とも呼ばれています。クライアントが必要とするCPUリソースやネットワーク帯域幅はごくわずかです。クライアントがサーバーに対し、サポートされる最大の鍵サイズを選択させることが可能な場合、攻撃の影響はさらに深刻になります。基本的な攻撃シナリオでは、クライアントがDHEのみの通信機能を要求し、サーバーがDHEを許可するように設定されている必要があります。

この脆弱性は、DHE暗号スイートを受け入れるすべての製品またはサービスに影響します。このリスクを軽減するために、Moxaは影響を受ける製品向けの対処方法を公開しています。適切な解決策を直ちに適用することをお勧めします。

見つかった脆弱性の種類と潜在的な影響

CVE ID 脆弱性の種類 影響
CVE-2002-20001

CWE-400：制御されていないリソース消費

 攻撃者は、サーバーに高コストのモジュラー指数演算を強制的に実行させる可能性があります。これにより、サーバー側のCPU使用率が大幅に上昇し、サービスの可用性が低下したり、完全なサービス拒否状態に陥ったりする可能性があります。

脆弱性評価の詳細

CVE ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2002-20001 

CVSS:3.1: 7.5 

AV:N/AC:L/PR:N/UI:N/S:U/ C:N/I:N/A:H 

 高 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-258261-cve-2002-20001-resource-exhaustion-vulnerability-in-diffie-hellman-key-exchange-protocol Mon, 02 Jun 2025 17:18:35 GMT <![CDATA[CVE-2025-0415：セキュアルータ、セルラールータ、およびネットワークセキュリティアプライアンスのサービス拒否につながるコマンドインジェクション]]> 複数のMoxaセキュアルータ、セルラールータ、およびネットワークセキュリティアプライアンスが、極めて深刻な脆弱性（CVE-2025-0415）の影響を受けます。この脆弱性により、Webインターフェースに対する管理者権限で認証された攻撃者が、影響を受けるデバイス上で任意のシステムコマンドを実行できるおそれがあります。

Moxaは、これらのリスクを軽減するために影響を受ける製品向けの対処方法を公開しています。可能なかぎり速やかに最新バージョンに更新することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

CVE ID 脆弱性の種類 影響

CVE-2025-0415

CWE-78：OSコマンドで使用される不適切な特殊要素の無効化（OSコマンドインジェクション）

Web管理者権限を持つリモートの攻撃者が、デバイスのWebインターフェースを悪用して、NTP設定を通じて任意のシステムコマンドを実行できるおそれがあります。悪用に成功すると、デバイスが無限リブートループに陥り、ネットワークサービスに依存するダウンストリームシステムの接続が完全に失われる可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2025-0415

CVSS 4.0: 9.2

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:H 

 重大 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-259491-cve-2025-0415-command-injection-leading-to-denial-of-service-(dos) Wed, 02 Apr 2025 14:00:00 GMT <![CDATA[CVE-2025-0676：セキュアルータ、セルラールータ、およびネットワークセキュリティアプライアンスにおける権限昇格につながるコマンドインジェクション]]> 複数のMoxaセキュアルータ、セルラールータ、およびネットワークセキュリティアプライアンスが、非常に深刻な脆弱性（CVE-2025-0676）の影響を受けます。この脆弱性により、攻撃者が任意のシステムコマンドを実行し、ルートレベルのアクセス権を取得できるおそれがあります。

Moxaは、これらのリスクを軽減するために影響を受ける製品向けの対処方法を公開しています。可能なかぎり速やかに最新バージョンに更新することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

CVE ID 脆弱性の種類 影響

CVE-2025-0676

CWE-78：OSコマンドで使用される特殊要素の不適切な中立化（OSコマンドインジェクション）

 この脆弱性は、Moxa製品内のtcpdumpにおけるコマンドインジェクションに関するもので、コンソールアクセス権を持つ認証済みの攻撃者が、不適切な入力検証を悪用してシステムコマンドを注入・実行できるおそれがあります。悪用に成功すると、権限昇格が起こり、攻撃者がルートシェルアクセス権を取得し、デバイスを永続的に制御できるおそれがあります。その結果、ネットワークサービスが中断し、その接続性に依存する下流システムの可用性にも影響が及ぶおそれがあります。

脆弱性評価の詳細

ID
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2025-0676

CVSS 4.0: 8.6

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

 高 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-251431-cve-2025-0676-command-injection-leading-to-privilege-escalation Wed, 02 Apr 2025 14:00:00 GMT <![CDATA[CVE-2024-12297：PTスイッチで特定されたフロントエンド認証ロジック漏洩の脆弱性]]> 複数のMoxa PTスイッチに認証メカニズムの欠陥に起因する脆弱性が存在します。攻撃者は、クライアント側とバックエンドサーバーで検証が行われていても実装上の不備を突くことができます。この脆弱性により、ブルートフォース攻撃による有効な資格情報の推測やMD5衝突攻撃による認証ハッシュの偽造が可能になり、デバイスのセキュリティが脅かされるおそれがあります。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-656：隠蔽によるセキュリティへの依存（CVE-2024-12297）

 この脆弱性を悪用すると、攻撃者は認証のバイパス、ブルートフォース攻撃やMD5衝突攻撃の実行、機密構成への不正アクセスやサービスの妨害を行う可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2024-12297

CVSS 4.0: 9.2

AV:N/AC:L/AT:P/PR:N/UI:N/

VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

 重大 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241408-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-identified-in-pt-switches Thu, 06 Mar 2025 16:20:20 GMT <![CDATA[CVE-2024-7695：EN 50155スイッチで発見された境界外書き込みの脆弱性]]> EN 50155スイッチは境界外書き込みの脆弱性の影響を受けます。この脆弱性は不十分な入力検証によって発生し、この脆弱性によりバッファ境界を超えてデータを書き込むことができるようになります。この脆弱性が悪用されると、サービス拒否（DoS）攻撃が発生する可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。この問題の重大性を考慮すると、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

境界外書き込み（CWE-787）

CVE-2024-7695

 不十分な入力検証によって生じる境界外書き込みの脆弱性により、攻撃者はバッファの境界を超えてメモリを上書きすることができます。この脆弱性の悪用に成功すると、サービス拒否（DoS）状態が発生し、通常の操作が中断される可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2024-7695

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

 高 あり
CVSS 4.0: 8.7

AV:N/AC:L/AT:N/PR:N/UI:N/

VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240164-cve-2024-7695-out-of-bounds-write-vulnerability-identified-in-en-50155-switches Sat, 22 Feb 2025 22:34:45 GMT <![CDATA[CVE-2024-9404：複数のPTスイッチで発見されたサービス拒否の脆弱性]]> 複数のPTスイッチが重大度の高い脆弱性CVE-2024-9404の影響を受けており、サービス拒否状態を引き起こしたり、システムまたはサービスのクラッシュを引き起こしたりする可能性があります。この脆弱性により、攻撃者は、もともと展開を目的として設計された、一般にmoxa_cmdと呼ばれるMoxaサービスを悪用できます。入力検証が不十分なため、このサービスが悪用され、コールドスタートまたはサービス拒否状態が引き起こされる可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。この問題の重大性を考慮すると、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-1287：指定されたタイプの入力に対する不適切な検証（CVE-2024-9404）

 この脆弱性（CVE-2024-9404）は、サービス拒否やサービスクラッシュを引き起こす可能性があります。moxa_cmdサービスの悪用により、不十分な入力検証が原因で、攻撃者は操作を妨害することができます。パブリックネットワークに公開された場合、この脆弱性は深刻なリモート脅威となり、攻撃者は影響を受けるシステムをシャットダウンすることができます。

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2024-9404

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

 高 あり
CVSS 4.0: 8.7

AV:N/AC:L/AT:N/PR:N/UI:N/

VC:N/VI:N/VA:H/SC:N/SI:N/SA:L

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240933-cve-2024-9404-denial-of-service-vulnerability-identified-in-multiple-pt-switches Wed, 19 Feb 2025 21:19:32 GMT <![CDATA[CVE-2024-9404：複数のEDS、ICS、IKS、SDSスイッチで発見されたサービス拒否の脆弱性]]> Moxaの複数のEDS、ICS、IKS、およびSDSスイッチは、重大度の高い脆弱性CVE-2024-9404の影響を受けており、サービス拒否状態を引き起こしたり、システムまたはサービスのクラッシュを引き起こしたりする可能性があります。この脆弱性により、攻撃者は、もともと展開を目的として設計された、一般にmoxa_cmdと呼ばれるMoxaサービスを悪用できます。入力検証が不十分なため、このサービスが悪用され、コールドスタートまたはサービス拒否状態が引き起こされる可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。この問題の重大性を考慮すると、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

脆弱性の種類 影響

CWE-1287：指定されたタイプの入力に対する不適切な検証（CVE-2024-9404）

 この脆弱性（CVE-2024-9404）は、サービス拒否やサービスクラッシュを引き起こす可能性があります。moxa_cmdサービスの悪用により、不十分な入力検証が原因で、攻撃者は操作を妨害することができます。パブリックネットワークに公開された場合、この脆弱性は深刻なリモート脅威となり、攻撃者は影響を受けるシステムをシャットダウンすることができます。

脆弱性評価の詳細

ID

ベーススコア

ベクター

 重大度

認証されていないリモートエクスプロイト
CVE-2024-9404

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

 高 あり
CVSS 4.0: 8.7

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240931-cve-2024-9404-denial-of-service-vulnerability-identified-in-multiple-eds,-ics,-iks,-and-sds-switches Fri, 07 Feb 2025 14:00:00 GMT <![CDATA[CVE-2024-7695：複数のEDS、ICS、IKS、SDSスイッチにおける境界外書き込みの脆弱性]]> Moxaの複数のEDS、ICS、IKS、およびSDSスイッチが境界外書き込みの脆弱性の影響を受けます。この脆弱性は不十分な入力検証によって発生し、この脆弱性によりバッファ境界を超えてデータを書き込むことができるようになります。この脆弱性が悪用されると、サービス拒否（DoS）攻撃が発生する可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。この問題の重大性を考慮すると、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

脆弱性の種類 影響

境界外書き込み（CWE-787）

CVE-2024-7695 

 不十分な入力検証によって生じる境界外書き込みの脆弱性により、攻撃者はバッファの境界を超えてメモリを上書きすることができます。この脆弱性の悪用に成功すると、サービス拒否（DoS）状態が発生し、通常の操作が中断される可能性があります。

脆弱性評価の詳細

ID

ベーススコア

ベクター

 重大度

認証されていないリモートエクスプロイト
CVE-2024-7695

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

 高 あり
CVSS 4.0: 8.7

AV:N/AC:L/AT:N/PR:N/UI:N/

VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240163-cve-2024-7695-out-of-bounds-write-vulnerability-in-multiple-eds,-ics,-iks,-and-sds-switches Fri, 07 Feb 2025 14:00:00 GMT <![CDATA[CVE-2024-7695：複数のPTスイッチで発見された境界外書き込みの脆弱性]]> 複数のPTスイッチが境界外書き込みの脆弱性の影響を受けます。この脆弱性は不十分な入力検証によって発生し、バッファ境界外のメモリにデータが書き込まれる可能性があります。この脆弱性が悪用されると、サービス拒否攻撃が発生する可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は深刻なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。このセキュリティリスクは重大であるため、潜在的な悪用を防ぐために直ちに対策を講じることを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

境界外書き込み（CWE-787）

CVE-2024-7695 

 不十分な入力検証によって生じる境界外書き込みの脆弱性により、攻撃者はバッファの境界を超えてメモリを上書きすることができます。この脆弱性の悪用に成功すると、サービス拒否（DoS）状態が発生し、通常の操作が中断される可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2024-7695

CVSS 3.1: 7.5

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

 高 あり
CVSS 4.0: 8.7
AV:N/AC:L/AT:N/PR:N/UI:N/
VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240162-cve-2024-7695-out-of-bounds-write-vulnerability-identified-in-multiple-pt-switches Wed, 29 Jan 2025 15:11:32 GMT <![CDATA[CVE-2024-9137：イーサネットスイッチの認証欠如の脆弱性]]> Moxaのイーサネットスイッチは重大な脆弱性（CVE-2024-9137）の影響を受けており、不正アクセスやシステム侵害につながる可能性があります。この脆弱性により、攻撃者は認証を必要とせずにデバイス構成を操作できます。セキュリティリスクが重大であることから、潜在的な悪用を軽減するために、直ちに対策することを強くお勧めします。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-306：重要な機能に対する認証の欠如（CVE-2024-9137）

 影響を受ける製品は、Moxaサービス経由でサーバーにコマンドを送信する際の認証チェックが欠如しています。この脆弱性により、攻撃者は特定のコマンドを実行できるため、構成ファイルの不正なダウンロードやアップロード、システムの侵害につながる可能性があります。

脆弱性評価の詳細

ID ベーススコア ベクター 重大度 認証されていないリモートエクスプロイト
CVE-2024-9137 CVSS 3.1: 9.4

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H

 重大 あり
CVSS 4.0: 8.8

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N

 高

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241156-cve-2024-9137-missing-authentication-vulnerability-in-ethernet-switches Fri, 17 Jan 2025 08:24:28 GMT <![CDATA[CVE-2025-0193：MGate 5121/5122/5123シリーズの格納型クロスサイトスクリプティング（XSS）の脆弱性]]> MGate 5121/5122/5123シリーズのファームウェアバージョンv1.0には、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。これは「ログインメッセージ」機能におけるユーザー入力のサニタイズ（無害化）とエンコードが不十分であることが原因です。管理者アクセス権を持つ認証済み攻撃者は、この脆弱性を悪用して悪意のあるスクリプトを挿入でき、スクリプトがデバイスに継続的に格納されます。これらのスクリプトは、他のユーザーがログインページにアクセスしたときに実行されるため、ユーザーの権限によっては、不正なアクションやその他の影響が生じる可能性があります。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-79：Webページ生成時の入力の不適切な中立化（クロスサイトスクリプティング）（CVE-2025-0193）

 この脆弱性を悪用すると、ユーザーの権限に応じて、不正なアクションやその他の影響が発生する可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2025-0193 

CVSS 4.0: 5.2
AV:N/AC:H/AT:N/PR:H/UI:P/
VC:N/VI:N/VA:N/SC:H/SI:H/SA:H 
 中 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-247733-cve-2025-0193-stored-cross-site-scripting-(xss)-vulnerability-in-the-mgate-5121-5122-5123-series Wed, 15 Jan 2025 18:48:09 GMT <![CDATA[CVE-2024-12297：EDS-508Aシリーズにおけるフロントエンド認証ロジック漏洩の脆弱性]]> MoxaのイーサネットスイッチEDS-508Aシリーズ（ファームウェアバージョン3.11以前）は、認証メカニズムの欠陥により、認証バイパスの脆弱性があります。このプロセスにはクライアント側とバックエンドサーバーの両方の検証が関係していますが、攻撃者は実装の弱点を悪用できます。これらの脆弱性により、ブルートフォース攻撃により有効な資格情報を推測したり、MD5衝突攻撃で認証ハッシュを偽造したりして、デバイスのセキュリティが侵害される可能性があります。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-656：隠蔽によるセキュリティへの依存（CVE-2024-12297）

 この脆弱性を悪用すると、攻撃者は認証のバイパス、ブルートフォース攻撃やMD5衝突攻撃の実行、機密構成への不正アクセスやサービスの妨害を行う可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2024-12297

9.2

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

 重大 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241409-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-in-ethernet-switches Wed, 15 Jan 2025 14:30:00 GMT <![CDATA[CVE-2024-12297：EDS-508Aシリーズにおけるフロントエンド認証ロジック漏洩の脆弱性]]> MoxaのイーサネットスイッチEDS-508Aシリーズ（ファームウェアバージョン3.11以前）は、認証メカニズムの欠陥により、認証バイパスの脆弱性があります。このプロセスにはクライアント側とバックエンドサーバーの両方の検証が関係していますが、攻撃者は実装の弱点を悪用できます。これらの脆弱性により、ブルートフォース攻撃により有効な資格情報を推測したり、MD5衝突攻撃で認証ハッシュを偽造したりして、デバイスのセキュリティが侵害される可能性があります。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-656：隠蔽によるセキュリティへの依存（CVE-2024-12297）

 この脆弱性を悪用すると、攻撃者は認証のバイパス、ブルートフォース攻撃やMD5衝突攻撃の実行、機密構成への不正アクセスやサービスの妨害を行う可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2024-12297

9.2

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

 重大 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241407-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-in-eds-508a-series Wed, 15 Jan 2025 14:30:00 GMT <![CDATA[PT-7528/7728/7828シリーズのセキュリティ強化 – SNMP、Telnet、SSL証明書]]> 製品のセキュリティを強化するために、PT-7528/7728/7828シリーズのユーザーは、ユーザーマニュアルv9.9に記載されている緩和策を実装して、以下のセキュリティ問題を回避する必要があります。

SNMP 
 
  • SNMPエージェントのデフォルトのコミュニティ名（Public）
  • SNMPの「GETBULK」のリフレクションDDoS
Telnet 
 
  • 暗号化されていないTelnetサーバー
SSL Certificate 
 
  • SSL証明書は信頼できません
  • SSL証明書チェーンに2048ビット未満のRSA鍵が含まれています
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-242721-security-enhancements-for-pt-7528-7728-7828-series-–-snmp,-telnet,-and-ssl-certificate Thu, 09 Jan 2025 19:12:59 GMT <![CDATA[セルラールーター、セキュアルーター、ネットワークセキュリティアプライアンスにおける権限昇格とOSコマンドインジェクションの脆弱性]]> Moxaのセルラールーター、セキュアルーター、およびネットワークセキュリティアプライアンスは、重大なセキュリティリスクをもたらす2つの重大な脆弱性の影響を受けます。

  • CVE-2024-9138：この脆弱性はハードコードされた資格情報に関係しており、認証済みユーザーが権限を昇格してシステムへのルートレベルのアクセス権を取得できる可能性があります。
  • CVE-2024-9140：この脆弱性により、攻撃者は特殊文字を悪用して入力制限を回避できるため、不正なコマンド実行につながる可能性があります。

潜在的な悪用を防ぎこれらのリスクを緩和するために、直ちに対策することを強くお勧めします。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-656：隠蔽によるセキュリティへの依存（CVE-2024-9138）

 ハードコードされた資格情報を悪用すると、認証済みユーザーがルートレベルのアクセス権を取得し、システムの侵害、不正な変更、データの漏洩、またはサービスの中断につながる可能性があります。
2 CWE-78：OSコマンド中に使用される特殊要素の不適切な無作用化（「OSコマンドインジェクション」）（CVE-2024-9140） 影響を受ける製品では、不適切に制限されたコマンドによるOSコマンドインジェクションが許可され、攻撃者は任意のコードを実行できる可能性があります。

脆弱性評価の詳細

ID ベーススコア ベクター 重大度 認証されていないリモートエクスプロイト
CVE-2024-9138 CVSS 3.1: 7.2

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

 

 高 なし
CVSS 4.0: 8.6

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

 
CVE-2024-9140 CVSS 3.1: 9.8

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

 重大 あり
CVSS 4.0: 9.3

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

注意：このアドバイザリでは、重大度レベルを決定するための基準としてCVSS 3.1を使用しています。CVSS 4.0は比較のための参照用基準として提供されています。 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241155-privilege-escalation-and-os-command-injection-vulnerabilities-in-cellular-routers,-secure-routers,-and-netwo Fri, 03 Jan 2025 14:28:46 GMT <![CDATA[CVE-2024-9404：VPort 07-3シリーズで発見されたサービス拒否の脆弱性]]> MoxaのIPカメラは深刻度合が中程度の脆弱性CVE-2024-9404の影響を受けており、サービス拒否状態またはサービスのクラッシュが発生する可能性があります。この脆弱性により、攻撃者は、もともと設定用に設計された、一般にmoxa_cmdと呼ばれるMoxaサービスを悪用できます。入力検証が不十分なため、このサービスが操作されてサービス拒否が引き起こされる可能性があります。

影響を受ける製品がパブリックにアクセス可能なネットワークに公開されている場合、この脆弱性は重大なリモート脅威となります。攻撃者は影響を受けるシステムをシャットダウンすることで、運用を妨害する可能性があります。このセキュリティリスクは重大であるため、潜在的な悪用を防ぐために直ちに対策を講じることを強くお勧めします。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-1287：指定された入力タイプに対する不適切な検証（CVE-2024-9404）

 この脆弱性は、サービス拒否やサービスクラッシュを引き起こす可能性があります。moxa_cmdサービスの悪用により、不十分な入力検証が原因で、攻撃者は操作を妨害することができます。パブリックネットワークに公開された場合、この脆弱性は重大なリモート脅威となり、攻撃者は影響を受けるシステムをシャットダウンすることができます。

脆弱性評価の詳細

ID ベーススコア ベクター 認証されていないリモートエクスプロイト
CVE-2024-9404 CVSS 4.0: 6.9

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

 あり
CVSS 3.1: 5.3

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240930-cve-2024-9404-denial-of-service-vulnerability-identified-in-the-vport-07-3-series Wed, 04 Dec 2024 11:30:39 GMT <![CDATA[EDS-P510シリーズのセキュリティ強化—Modbus/TCPアクセス、デバイス識別、暗号化されていないTelnetサーバー ]]> MoxaはEDS-P510シリーズを強化し、複数の重要な脆弱性に対処しました。

  1. Modbus/TCPコイルアクセス：攻撃者がコイル設定を読み取って分析し、SCADAおよびDCS環境でデバイスの機能を変更できる可能性があります。
  2. Modbus/TCPデバイスID：攻撃者がModbus MEI読み取り要求を介してデバイスの詳細を取得し、それによりベンダー名、製品コード、およびその他の識別情報が露出する可能性があります。
  3. 暗号化されていないTelnetサーバー：暗号化されていないチャネルでTelnetを使用すると、認証情報などの機密情報が傍受される可能性があります。安全な代替手段としてはSSHが推奨されています。

上記の更新は、EDS-P510シリーズの脆弱性に対する耐性を向上させ、全体的なセキュリティ強化を目的としています。


脆弱性評価の詳細

脆弱性
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト

Modbus/TCP Device Identification

CVSS 3.1: 5.8

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

 中 あり
Modbus/TCP Coil Access CVSS 3.1: 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 中 あり

Unencrypted Telnet Server

CVSS 3.1: 6.5

 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241021-vulnerability-identified-in-the-eds-p510-series-modbustcp,-device-identification,-and-unencrypted-telnet Fri, 08 Nov 2024 08:11:56 GMT <![CDATA[MDS-G4028-L3シリーズおよびEDS-G512Eに発見された脆弱性 - SSHにおけるプレフィックス切り捨て、サポート終了後のNginxソフトウェア、弱いSSL/TLS鍵交換]]> MDS-G4028-L3シリーズおよびEDS-G512Eシリーズは、潜在的なセキュリティリスクをもたらす脆弱性の影響を受けます。MDS-G4028-L3シリーズは、不正アクセスを許す可能性のあるCVE-2023-48795や、古いバージョンのNginx（CVE-2021-23017、CVE-2021-3618、CVE-2019-20372）に対して脆弱であり、パッチ未適用の脅威にさらされます。EDS-G512Eシリーズは弱いSSL/TLS鍵交換の影響を受け、これにより暗号化された通信が危険にさらされ、データの傍受を許す可能性があります。


発見された脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

CWE-354：整合性検証不備の脆弱性（CVE-2023-48795）

 整合性チェックでは通常、データの出所の正当性を確認するために秘密鍵が使用されます。一般的に、整合性チェックを省略すると不適正なソースからの新しいデータが注入される可能性が生じます。
2 CWE-193：Off-by-oneエラー（CVE-2021-23017） この弱点は一般的に、未定義の動作につながり、その結果としてクラッシュを引き起こします。ループインデックス変数に関係するオーバーフローにより、無限ループが発生する可能性も高まります。
3 CWE-295：不正な証明書検証（CVE-2021-3618） 保護メカニズムのバイパスや、権限の取得、IDのなりすましが起こります。
4 CWE-444：HTTPリクエストの一貫性のない解釈（「HTTPリクエスト/レスポンススマグリング」）（CVE-2019-20372） 攻撃者は、1）あるURLを別のURLのWebページに関連付けさせるようなメッセージにより、WebサーバーがそのWebページのコンテンツをキャッシュするように仕向けることができる（Webキャッシュポイズニング攻撃）、2）ファイアウォール保護メカニズムを回避しWebアプリケーションへの不正なアクセス権を取得するようなメッセージを構成できる、3）メッセージを通じ、クライアント資格情報を返すスクリプトやページを呼び出すことができる（クロスサイトスクリプティング攻撃に類似）といった、いくつかの弱点を悪用するHTTPメッセージを作成できる可能性があります。
5 CWE-326：不十分な暗号強度 攻撃者がブルートフォース攻撃を使用してデータを復号する可能性があります。

脆弱性評価の詳細

ID
ベーススコア
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2023-48795

5.9

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

 中 あり
CVE-2021-23017 7.7 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L 高 あり
CVE-2021-3618 7.4 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N 高 あり
CVE-2019-20372 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241044-vulnerabilities-identified-in-mds-g4028-l3-series-and-eds-g512e Mon, 04 Nov 2024 09:06:29 GMT <![CDATA[複数のMoxaイーサネットスイッチが、CVE-2023-48795およびCVE-2019-20372の影響を受けます]]> 複数のMoxaイーサネットスイッチが、脆弱性CVE-2023-48795およびCVE-2019-20372の影響を受けます。これらの脆弱性は、影響を受ける製品の完全性と機能に影響を及ぼす可能性のある潜在的なセキュリティリスクをもたらします。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

完全性検証不備の脆弱性（CWE-354）

CVE-2023-48795

 これにより、リモートの中間者攻撃者が完全性チェックを回避し、接続のセキュリティを低下させる可能性があります。
2

HTTPリクエストの一貫性のない解釈（「HTTPリクエスト/レスポンススマグリング」）（CWE-444）

CVE-2019-20372

 これにより、HTTPリクエストのスマグリングが可能になり、Webページへの不正アクセスや、セキュリティ制御の回避などの攻撃につながる可能性があります。

脆弱性評価の詳細

CVE ID
ベーススコア
ベクター

認証されていないリモートエクスプロイト
CVE-2023-48795

5.9

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

 あり
CVE-2019-20372 5.3

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-244252-multiple-moxa-ethernet-switches-affected-by-cve-2023-48795-and-cve-2019-20372 Fri, 01 Nov 2024 08:47:52 GMT <![CDATA[NE-4100シリーズとMiiNePortシリーズが、CVE-2016-9361に影響を受けます]]> このセキュリティアドバイザリでは、CVE-2016-9361がNE-4100シリーズ、MiiNePort E1シリーズ、MiiNePort E2シリーズ、およびMiiNePort E3シリーズに与える影響についてご説明します。この脆弱性により、攻撃者は適切な認証なしに管理者パスワードを取得することが可能になります。この欠陥により、管理コントロールへの不正アクセスが可能になり、影響を受けるデバイスのセキュリティが侵害され、悪意のある攻撃者による設定の変更や、オペレーション妨害の可能性があります。

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

不適切な認証（CWE-287）

CVE-2016-9361

 管理者パスワードが認証なしで再試行できます

脆弱性評価の詳細

ID
ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2016-9361

9.8

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

 重大 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241661-ne-4100-series-and-miineport-series-affected-by-cve-2016-9361 Mon, 21 Oct 2024 21:44:38 GMT <![CDATA[MXsecurityシリーズの複数の脆弱性]]> MXsecurityシリーズバージョン1.1.0以前のバージョンは、2つの脆弱性の影響を受けます。

CVE-2024-4739 

権限のないユーザーによるリソースへのアクセスが制限されていないため、MXsecurityソフトウェアバージョンv1.1.0以前に脆弱性が生じています。攻撃者は、有効な認証子を取得することで権限のあるユーザーになりすまし、リソースにアクセスすることができます。

CVE-2024-4740 

MXsecurityソフトウェアバージョンv1.1.0以前のバージョンは、ハードコードされた資格情報を使用しているため脆弱性が存在します。この脆弱性により、攻撃者が機密データを改ざんできる可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

危険なメソッドや機能の公開（CWE-749）

CVE-2024-4739 

 攻撃者がリソースにアクセスできる可能性があります。
2

ハードコードされた認証情報の使用（CWE-798）

CVE-2024-4740 

 攻撃者が機密データを改ざんする可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1スコア
ベクター
 重大度

認証なしのリモートエクスプロイトの可能性
CVE-2024-4739

5.3

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

 中 あり
CVE-2024-4740 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-231878-mxsecurity-series-multiple-vulnerabilities Fri, 18 Oct 2024 15:56:21 GMT <![CDATA[セルラールーター、セキュアルーター、ネットワークセキュリティアプライアンスにおける認証の欠如とOSコマンドインジェクションの脆弱性]]> Moxaのセルラールーター、セキュアルーター、およびネットワークセキュリティアプライアンスは、不正アクセスやシステム侵害につながる可能性のある2つの重大な脆弱性の影響を受けています。1つ目の脆弱性CVE-2024-9137では、攻撃者は認証なしでデバイス構成を操作できます。2つ目の脆弱性CVE-2024-9139では、不適切に制限されたコマンドによるOSコマンドインジェクションが可能になり、攻撃者は任意のコードを実行できる可能性があります。これらの脆弱性は重大なセキュリティリスクをもたらすため、悪用の可能性を防ぐために直ちに対策を講じることを強くお勧めいたします。


見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

CWE-306：重要な機能に対する認証の欠如

（CVE-2024-9137）

 影響を受ける製品は、Moxaサービス経由でサーバーにコマンドを送信する際の認証チェックが欠如しています。この脆弱性により、攻撃者は特定のコマンドを実行できるため、設定ファイルの不正なダウンロードやアップロード、システムの侵害につながる可能性があります。
2

CWE-78：OSコマンドで使用される特殊要素の不適切な中立化（「OSコマンドインジェクション」）

（CVE-2024-9139）

 影響を受ける製品では、不適切に制限されたコマンドによるOSコマンドインジェクションが許可され、攻撃者は任意のコードを実行できる可能性があります。

脆弱性評価の詳細

ID ベーススコア ベクター 認証されていないリモートエクスプロイト
CVE-2024-9137 CVSS 3.1: 9.4 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H あり
CVSS 4.0: 8.8 AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N
CVE-2024-9139 CVSS 3.1: 7.2 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H なし
CVSS 4.0: 8.6 AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-241154-missing-authentication-and-os-command-injection-vulnerabilities-in-routers-and-network-security-appliances Mon, 14 Oct 2024 15:28:57 GMT <![CDATA[TN-5900シリーズに複数のOpenSSL脆弱性が影響]]> このセキュリティアドバイザリでは、複数のOpenSSL脆弱性、具体的にはCVE-2022-4304、CVE-2023-0215、およびCVE-2023-0286がTN-5900シリーズに与える影響についてご説明します。これらの脆弱性は、タイミングベースサイドチャネル攻撃による平文回復の可能性、メモリ破損につながる不適切なメモリ管理、不正なメモリアクセスやサービス拒否攻撃を許す可能性のある型の取り違えの脆弱性など、重大なセキュリティリスクをもたらします。


見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1
観測可能な不一致（CWE-203）
CVE-2022-4304
 十分な数のメッセージが送信された後、攻撃者は元の接続に使用されたプレマスターシークレットを復元し、その接続を介して送信されたアプリケーションデータを復号できる可能性があります。
2

解放済みメモリの使用（CWE-416）

CVE-2023-0215		 その後、呼び出し元がそのBIOでBIO_pop()を呼び出すと、解放済みメモリの使用が発生します。これは多くの場合、クラッシュの発生につながります。
3

互換性のない型を使用したリソースへのアクセス（「型の取り違え」）（CWE-843）

CVE-2023-0286		 この脆弱性により、攻撃者はmemcmp呼び出しに任意のポインターを渡して、メモリの内容を読み取ったり、サービス拒否を引き起こしたりできる可能性があります。

脆弱性評価の詳細

ID

ベーススコア
ベクター
 重大度

認証されていないリモートエクスプロイト
CVE-2022-4304

5.9

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

 中 あり
CVE-2023-0215 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 高 あり
CVE-2023-0286 7.4 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H 高 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230405-tn-5900-series-affected-by-multiple-openssl-vulnerabilities Fri, 04 Oct 2024 18:41:22 GMT <![CDATA[MXview OneシリーズとMXview One Central Managerシリーズにおける複数の脆弱性]]> このアドバイザリでは、脆弱性CVE-2024-6785、CVE-2024-6786、CVE-2024-6787の影響について詳しくご説明します。これらの脆弱性は、ローカル資格情報の露出、Message Queuing Telemetry Transport（MQTT）プロトコルを介しシステムに任意のファイルを書き込むなど、さまざまな攻撃につながります。影響を受ける製品は、MXview OneシリーズおよびMXview One Central Managerシリーズです。 

見つかった脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1 CWE-313：ファイル内またはディスク上の平文保存（*CVE-2024-6785） 資格情報が、構成ファイルに平文で保存されます。ローカルアクセス権を持つ攻撃者は、構成ファイルの読み取りや変更ができるため、機密情報の漏洩によってサービスが悪用される可能性があります。
2 CWE-24：パストラバーサル：‘../filedir’（*CVE-2024-6786） この脆弱性により、攻撃者は相対パストラバーサルのシーケンスを含むMQTTメッセージを作成し、システム上の任意ファイルを読み取ることができます。これにより、構成ファイルやJWT署名シークレットなどの機密情報が漏洩する可能性があります。
3 CWE-367：Time-of-check Time-of-use（TOCTOU）競合状態（*CVE-2024-6787） この脆弱性は、ファイルのチェック時と使用時（TOCTOU）の間の競合状態を攻撃者が悪用した場合に発生します。この競合状態を悪用することで、攻撃者は任意のファイルをシステムに書き込むことができます。これにより、攻撃者は悪意のあるコードを実行し、ファイルの損失を引き起こす可能性があります。

注意：上記の表のアスタリスク（*）は、新しく割り当てられた共通脆弱性識別子（CVE）の識別番号を示します。

脆弱性評価の詳細

ID ベーススコア ベクター 重大度 認証されていないリモートエクスプロイト
CVE-2024-6785 CVSS 3.1: 5.5 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 中

なし
CVSS 4.0: 6.8 AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N 中
CVE-2024-6786 CVSS 3.1: 6.5 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 中 なし
CVSS 4.0: 6.0 AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 中
CVE-2024-6787 CVSS 3.1: 5.3 AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N 中 なし
CVSS 4.0: 6.0 AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N 中
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-240735-multiple-vulnerabilities-in-mxview-one-and-mxview-one-central-manager-series Sat, 21 Sep 2024 13:30:00 GMT <![CDATA[ OnCell 3120-LTE-1シリーズにおける複数の脆弱性]]> OnCell 3120-LTE-1シリーズのバージョン2.3以前のファームウェアは、古いバージョンのjQueryに存在する複数の脆弱性の影響を受けます。これらの脆弱性は、クロスサイトスクリプティング（XSS）攻撃やプロトタイプ汚染など、さまざまな方法でお客様のセキュリティをリスクにさらす可能性があります。


見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
Webページ生成時の入力の不適切な中立化（クロスサイトスクリプティング）（CWE-79）
 
CVE-2020-7656、CVE-2020-11022、CVE-2020-11023（jQuery）
 リモートの攻撃者が、Webインターフェースを介してシステムにHTMLやJavaScriptを挿入する可能性があります。
2
オブジェクトプロトタイプ属性の不適切に制御された変更（プロトタイプ汚染）（CWE-1321）
 
CVE-2019-11358（jQuery）
 攻撃者が他のコンポーネントで使用されている属性を注入する可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1
ベクター

重大度

認証されていないリモートエクスプロイト
CVE-2019-11358

6.1

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

 中 あり
CVE-2020-7656 6.1 AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 中 あり
CVE-2020-11022 6.1 AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 中 あり
CVE-2020-11023 6.1 AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-244707-oncell-3120-lte-1-series-multiple-jquery-vulnerabilities Wed, 04 Sep 2024 18:17:21 GMT <![CDATA[CVE-2024-6387の影響を受ける複数のMoxa製品シリーズ]]> 複数のMoxa製品がCVE-2024-6387 OpenSSH脆弱性の影響を受けます。CVE-2024-6387は、OpenSSHにおいてリモートで未認証のコード実行が可能になる脆弱性であり、具体的にはOpenSSHサーバー（sshd）の競合状態に関連しています。この問題は、クライアントがLoginGraceTime時間（デフォルトは120秒、古いOpenSSHバージョンでは600秒）内に認証に失敗した場合に発生します。これが発生すると、sshdのSIGALRMシグナルハンドラーが非同期的に呼び出されます。しかし、このシグナルハンドラーは、syslog()など、非同期シグナルコンテキストで使用するうえで安全ではない複数の関数を呼び出します。


特定された脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

シグナルハンドラーの競合状態（CWE-364）

CVE-2024-6387

 この脆弱性により、攻撃者は認証を経ずに脆弱なシステム上でルート権限を使用して任意のコードを実行できるようになります。

脆弱性評価の詳細

ID
ベーススコア
ベクター
重大度

認証されていないリモートエクスプロイト
CVE-2024-6387

8.8

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

 高 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-246387-multiple-moxa-product-series-affected-by-cve-2024-6387 Fri, 02 Aug 2024 14:00:00 GMT <![CDATA[EDS-510AシリーズSSH暗号化アルゴリズムのセキュリティ強化]]> EDS-510Aシリーズで、暗号キーと暗号スイートを含む、SSH暗号アルゴリズムが強化されました。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-245831-eds-510a-series-ssh-cryptographic-algorithm-security-enhancement Tue, 30 Jul 2024 19:33:29 GMT <![CDATA[Linuxカーネルメモリの二重解放脆弱性の影響を受ける複数のMoxa製品シリーズ]]> 複数のMoxa製品シリーズが、Linuxカーネルメモリの二重解放脆弱性の影響を受けます。Linuxカーネルのnetfilter: nf_tablesコンポーネントの解放後使用の脆弱性が悪用されることで、システムの破壊やローカル権限の昇格が発生する可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

解放後使用（CWE-416）

CVE-2024-1086

 攻撃者はこの脆弱性を悪用してローカル権限の昇格や、システムクラッシュを引き起こす可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1スコア
ベクター
重大度
認証されていないリモートエクスプロイト
CVE-2024-1086

7.8

 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 高 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-249807-multiple-moxa-product-series-affected-by-linux-kernel-memory-double-free-vulnerability Wed, 10 Jul 2024 22:52:18 GMT <![CDATA[EDS-405A/408Aシリーズにおける複数のWeb脆弱性]]> Webサーバーに関する複数の脆弱性が、EDS-405Aシリーズのバージョン3.5以前、およびEDS-408Aシリーズのバージョン3.6以前に影響を与えます。入力検証が不十分であること、および権限管理が不適切であることが原因で、これらの脆弱性が生じます。攻撃者は、細工したHTTP入力をWebサービスに送信することで、これらの脆弱性を悪用する可能性があります。これらの脆弱性が悪用されると、サービス拒否攻撃、リモートでのコード実行、権限昇格が引き起こされる可能性があります。

特定された脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

不適切な権限管理（CWE-269）

CVE-2015-6464

 攻撃者が細工した入力を送信して、権限を昇格させる可能性があります。
2

制御不能なリソース枯渇（CWE-400）

CVE-2015-6465 

 EDS-405AおよびEDS-408Aで実行されている組み込みのGoAhead Webサーバーは、サービス拒否攻撃に対して脆弱です。
3

Webページ生成時の入力の不適切な中立化（クロスサイトスクリプティング）（CWE-79）

CVE-2015-6466 

 管理Webインターフェースの入力フィールドには入力検証機能がないため、悪用され、JavaScriptコードが挿入される可能性があります。

脆弱性評価の詳細

ID
CVSS v2.0 スコア
ベクター
重大度
認証されていないリモートエクスプロイト
CVE-2015-6464 

8.2

 AV:N/AC:L/Au:S/C:N/I:C/A:C  高 なし
CVE-2015-6465 6.8  AV:N/AC:L/Au:S/C:N/I:N/A:C  中 なし
CVE-2015-6466 4.3  AV:N/AC:M/Au:N/C:N/I:P/A:N  中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-154603-eds-405a-408a-series-multiple-web-vulnerabilities Thu, 27 Jun 2024 10:07:37 GMT <![CDATA[AWK-3131Aシリーズの産業用AP/ブリッジ/クライアントの脆弱性]]> Moxaの産業用AP/ブリッジ/クライアントのシリーズAWK-3131Aに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切なアクセス制御（CWE-284）
CVE-2019-5136 / TALOS-2019-0925		 より上位の特権を持つユーザーとしての不適切なシステムアクセス。攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
2 ハードコードされた暗号鍵の使用（CWE-321）
CVE-2019-5137 / TALOS-2019-0926		 ハードコードされた暗号鍵の悪用が可能であり、記録されたトラフィックを復号できるようになっています。
3 OSコマンド中に使用される特殊要素の不適切なハンドリング（CWE-78）
CVE-2019-5138 / TALOS-2019-0927		 デバイスの制御権を獲得するためのリモートコマンドインジェクション。攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
4 ハードコードされた資格情報の使用（CWE-798）
CVE-2019-5139 / TALOS-2019-0928		 悪用可能なハードコードされた資格情報。
5 OSコマンド中に使用される特殊要素の不適切なハンドリング（CWE-78）
CVE-2019-5140 / TALOS-2019-0929		 デバイスの制御権を獲得するためのリモートコマンドインジェクション攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
6 OSコマンド中に使用される特殊要素の不適切なハンドリング（CWE-78）
CVE-2019-5141 / TALOS-2019-0930		 デバイスの制御権を獲得するためのリモートコマンドインジェクション攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
7 OSコマンド中に使用される特殊要素の不適切なハンドリング（CWE-78）
CVE-2019-5142 / TALOS-2019-0931		 デバイスの制御権を獲得するためのリモートコマンドインジェクション。攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
8 入力サイズのチェックなしのバッファコピー（CWE-120）
CVE-2019-5143 / TALOS-2019-0932		 この脆弱性によってリモートコード実行が引き起こされる可能性があります。攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
9 範囲外の読み込み（CWE-125）
CVE-2019-5148 / TALOS-2019-0938		 攻撃者が細工されたパケットを送信し、デバイスのサービス拒否を引き起こせます。
10 スタックベースのバッファオーバーフロー（CWE-121）
CVE-2019-5153 / TALOS-2019-0944		 この脆弱性によってリモートコード実行が引き起こされる可能性があります。攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
11 不適切なアクセス制御（CWE-284）
CVE-2019-5162 / TALOS-2019-0955		 デバイスへの不適切なリモートシェルアクセス攻撃者が、低い特権のユーザーとして認証されている間にコマンドを送信し、この脆弱性をトリガできます。
12 代替となるパスまたはチャネルを利用した認証バイパス（CWE-288）
CVE-2019-5165 / TALOS-2019-0960		 悪用可能な認証バイパス脆弱性。特別に構成されたデバイスで、攻撃者が認証バイパスをトリガできます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/awk-3131a-series-industrial-ap-bridge-client-vulnerabilities Tue, 25 Jun 2024 16:09:59 GMT <![CDATA[OnCell G3470A-LTEシリーズのWebアプリケーションにおける複数の脆弱性]]> OnCell G3470A-LTEシリーズのバージョン1.7.7以前のWebサーバーに複数の脆弱性が見つかりました。これらの脆弱性は、入力検証が不十分であることと、外部ソースからのフォーマット文字列に対する信頼が不十分であることに起因します。攻撃者が細工した入力をWebサービスに送信することで、これらの脆弱性を悪用する可能性があります。これらの脆弱性が悪用されると、サービス拒否攻撃、リモートでのコード実行、情報漏えいが引き起こされる可能性があります。

特定された脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1

コマンドで使用される特殊要素の不適切な中立化（CWE-77）

CVE-2024-4638 

 攻撃者が不正なコマンドを実行する可能性があります。
2

コマンドで使用される特殊要素の不適切な中立化（CWE-77）

CVE-2024-4639 

 悪意のあるユーザーが不正なコマンドを実行する可能性があります。
3

入力サイズのチェックなしのバッファコピー（古典的バッファオーバーフロー）（CWE-120）

CVE-2024-4640 

 攻撃者がメモリ内の割り当てられたバッファ領域の境界を越えて書き込みを行い、プログラムをクラッシュさせる可能性があります。
4

外部から制御可能な書式文字列の使用（CWE-134）

CVE-2024-4641 

 攻撃者が外部から制御可能な書式文字列を変更して、メモリリークやサービス拒否攻撃を引き起こす可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1 スコア
ベクター
重大度
認証されていないリモートエクスプロイト
CVE-2024-4638

7.1

 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N 高 なし
CVE-2024-4639 7.1 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N 高 なし
CVE-2024-4640 7.1 AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H 高 なし
CVE-2024-4641 6.3 AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L 中 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-242550-oncell-g3470a-lte-series-multiple-web-application-vulnerabilities Fri, 21 Jun 2024 16:49:05 GMT <![CDATA[複数のUCシリーズIPCにおけるSSHの脆弱性]]> 複数のUCシリーズのIPCがCVE-2023-48795の影響を受けます。この脆弱性は、ハンドシェイク中のパケットの完全性検証が不十分なために発生します。ネットワーク上でクライアントとサーバーの間に位置する攻撃者は、一部のネゴシエーションメッセージを削除し、検出されることなく一部のセキュリティ機能を強制的にダウングレードまたは無効にすることが可能になります。この脆弱性により、認証が回避されてしまう可能性があります。

特定された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

完全性検証不備の脆弱性（CWE-354）

CVE-2023-48795

 攻撃者が認証メカニズムを回避する可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1 スコア
ベクター
重大度
認証なしのリモートエクスプロイトの可能性
CVE-2023-48795

5.9

 AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-247816-multiple-uc-series-ipc-ssh-vulnerability Thu, 20 Jun 2024 18:51:00 GMT <![CDATA[SDS-3008シリーズにおける複数の脆弱性]]> SDS-3008シリーズのv2.2以前のファームウェアは、古いバージョンのjQueryに存在する複数の脆弱性の影響を受けます。これらの脆弱性は、クロスサイトスクリプティング（XSS）攻撃やプロトタイプ汚染など、さまざまな方法で、お客様のセキュリティにリスクをもたらす可能性があります。

特定された脆弱性の種類と潜在的な影響

項目 脆弱性の種類 影響
1
Webページ生成時における入力値の不適切な無効化（クロスサイトスクリプティング）（CWE-79）
 
CVE-2015-9251、CVE-2020-11022、CVE-2020-11023（jQuery）
 攻撃者が、Webインターフェースを介してリモートでHTMLやJavaScriptをシステムに挿入し、text/javascriptを実行させる可能性があります。
2
オブジェクトプロトタイプ属性の不適切に制御された変更（プロトタイプ汚染）（CWE-1321）
 
CVE-2019-11358（jQuery）
 攻撃者が他のコンポーネントで使用されている属性を注入し、クロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1スコア
ベクター
重大度
認証されていないリモートエクスプロイト
CVE-2015-9251

6.1

 AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 中 あり
CVE-2019-11358 6.1 AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 中 あり
CVE-2020-11022 6.9 AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N 中 あり
CVE-2020-11023 6.9 AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N 中 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-248126-sds-3008-series-multiple-vulnerabilities Wed, 19 Jun 2024 20:54:59 GMT <![CDATA[NPort 5100Aシリーズにおける蓄積型XSSの脆弱性]]> NPort 5100Aシリーズのファームウェアバージョンv1.6以前のバージョンは、Webサーバーの脆弱性の影響を受けます。この脆弱性は、ユーザーが操作可能な入力を、正しく無効化せずに出力することで発生します。悪意のあるユーザーがこれらの脆弱性を利用して、機密情報を入手し、権限を昇格する可能性があります。 

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

Webページ生成時における入力値の不適切な無効化（クロスサイトスクリプティング）

（CWE-79）

 攻撃者はこの脆弱性を利用して機密情報を入手し、権限を昇格させる可能性があります。

脆弱性評価の詳細

ID
CVSS v3.1 スコア
ベクター
重大度
認証なしのリモートエクスプロイトの可能性
CVE-2024-3576

8.3

 AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L 高 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-246328-nport-5100a-series-store-xss-vulnerability Tue, 07 May 2024 15:13:06 GMT <![CDATA[マルウェア/バックドアが含まれたXZに関するMoxaの対応 （CVE-2024-3094）]]> バージョン5.6.0以降のアップストリームxz tarballsに悪意のあるコードが発見されました。このコードは複雑な難読化が施されており、ソースコード内に追加した偽装テストファイルを使ってliblzmaのビルドプロセス中にビルド済みのオブジェクトファイルを抽出し、liblzmaコード内の特定の関数を書き換えます。その結果、リンクされているすべてのソフトウェアで使用できるように変更されたliblzmaライブラリが生成され、このライブラリとの間でやり取りされたデータの傍受と変更が可能になります。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-243094-moxa’s-response-regarding-xz-containing-malware-backdoor-(cve-2024-3094) Tue, 30 Apr 2024 13:35:39 GMT <![CDATA[AIG-301シリーズAzure uAMQPの脆弱性]]> バージョン1.5以前のAIG-301シリーズは、Azure uAMQPによる複数の脆弱性の影響を受けます。これらの脆弱性が悪用されることで、リモートコードが実行される可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
二重解放（CWE-415）
CVE-2024-27099
 攻撃者は、誤った「AMQP_VALUE」失敗状態を処理し、二重解放問題を引き起こす可能性があります。これにより、RCEが発生する可能性があります。
2

コード生成の不適切な制御（「コードインジェクション」）（CWE-97）

CVE-2024-25110		 攻撃者はユーズ・アフター・フリー（UAF）問題を引き起こし、リモートでコードを実行する可能性があります。
3

コード生成の不適切な制御（「コードインジェクション」）（CWE-97）

CVE-2024-21646		 攻撃者はバイナリ型データを作成する可能性があります。整数のオーバーフロー、ラップアラウンド、またはメモリの安全性の問題が発生し、リモートコードが実行される可能性があります。

 

脆弱性評価の詳細

ID 

CVSS v3.1スコア

ベクター

重大度

認証なしのリモートエクスプロイトの可能性 

CVE-2024-27099

9.8

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 

重大

あり
CVE-2024-25110 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 重大 あり
CVE-2024-21646 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 重大 あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-248041-aig-301-series-azure-uamqp-vulnerabilities Mon, 22 Apr 2024 18:24:06 GMT <![CDATA[NPort W2150A/W2250Aシリーズ、Webサーバーにおける スタックバッファオーバーフローの脆弱性]]> Moxa NPort W2150A/W2250Aシリーズのファームウェアバージョン2.3以前の組み込みWebサーバーにおけるスタックベースのバッファオーバーフローにより、リモート攻撃者が作成したペイロードをWebサービスに送信することで脆弱性の悪用が可能となります。この脆弱性が悪用されると、サービス拒否が発生する可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下のとおりです。

項目 脆弱性の種類 影響
1

スタックベースのバッファオーバーフロー（CWE-121）

CVE-2024-1220

 攻撃者がサービス拒否（DoS）攻撃をおこなう可能性があります

 

脆弱性評価の詳細

ID 

CVSS v3.1スコア

ベクター

重大度

認証なしのリモートエクスプロイトの可能性 

CVE-2024-1220

8.2

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H 

高

あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-238975-nport-w2150a-w2250a-series-web-server-stack-based-buffer-overflow-vulnerability Thu, 07 Mar 2024 10:29:21 GMT <![CDATA[EDS-4000/G4000シリーズのIP転送における脆弱性]]> バージョン3.2以前のEDS-4000/G4000シリーズには、ユーザーが無効化できないIP転送機能が含まれています。攻撃者が製品にリクエストを送信することで、ターゲットに転送する可能性があります。

発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

意図せぬプロキシまたは媒介（混乱した代理）（CWE-441）

CVE-2024-0387

 攻撃者がアクセス制御を回避したり、悪意のあるリクエストのソースを隠蔽する可能性があります。

 

脆弱性評価の詳細

ID 

CVSS v3.1スコア

ベクター

重大度

認証なしのリモートエクスプロイトの可能性 

CVE-2024-0387

6.5 

AV:A/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L 

中

なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-237129-eds-4000-g4000-series-ip-forwarding-vulnerability Mon, 26 Feb 2024 21:00:23 GMT <![CDATA[PT-G503シリーズにおける複数の脆弱性]]> PT-G503シリーズのv5.2以前のファームウェアは、古いバージョンのjQuery、脆弱な暗号スイート、セキュリティ対策が施されていないWeb Cookieから脆弱性の影響を受けます。古いjQueryバージョンや脆弱な暗号スイートを使用したセッションCookie属性を適切に設計しないことが、これら脆弱性の原因となります。これらの脆弱性は、クロスサイトスクリプティング（XSS）攻撃、プロトタイプ汚染、データ漏洩、ユーザーセッションへの不正アクセスなど、さまざまな方法で、お客様のセキュリティをリスクにさらす可能性があります。


発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
Webページ生成時の入力の不適切な中立化（クロスサイトスクリプティング）（CWE-79）
CVE-2015-9251、CVE-2020-11022、CVE-2020-11023（jQuery）
 リモートの攻撃者が、Webインターフェースを介してシステムにHTMLやJavaScriptを挿入する可能性があります。
2
オブジェクトプロトタイプ属性の不適切に制御された変更（プロトタイプ汚染）（CWE-1321）
CVE-2019-11358（jQuery）
 攻撃者が他のコンポーネントで使用されている属性を注入する可能性があります。
3
不十分な暗号化強度（CWE-326）
CVE-2005-4900（暗号）
 攻撃者がスプーフィング攻撃を使用して、データを復号化する可能性があります。
4
CVE-2023-4217（Cookie）
 この脆弱性は、セキュリティリスクを引き起こし、ユーザーセッションデータへの不正アクセスを許してしまう可能性があります。
5
CVE-2023-5035（Cookie）
 この脆弱性によって、CookieがHTTPセッションを介して平文で伝送される可能性があります。

 

脆弱性評価の詳細

ID CVSS v3.1スコア ベクター 重大度 認証なしのリモートエクスプロイトの可能性
CVE-2005-4900  5.9  AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N  中 あり
CVE-2015-9251  6.1  AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N  中 あり
CVE-2019-11358  6.1  AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N  中 あり
CVE-2020-11022  6.9  AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N  中 あり
CVE-2020-11023  6.9  AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N  中 あり
CVE-2023-4217  3.1  AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N  低 あり
CVE-2023-5035  3.1  AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N  低 あり

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230203-pt-g503-series-multiple-vulnerabilities Fri, 05 Jan 2024 00:24:49 GMT <![CDATA[OnCell G3150A-LTEシリーズにおける複数Webアプリケーションの脆弱性およびセキュリティ強化]]> バージョン1.3以前のOnCell G3150A-LTEシリーズは、複数Webアプリケーションの脆弱性による影響を受けます（CVE-2004-2761、CVE-2013-2566、CVE-2016-2183、CVE-2023-6093、およびCVE-2023-6094）。これらの脆弱性は、脆弱な暗号アルゴリズムと暗号スイートを適用することにより引き起こされ、フレームオブジェクトが不適切に制限されます。これらの脆弱性が悪用されると、不正アクセスやWebアプリケーションへの予期せぬユーザー操作が起こる可能性があります。

発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

暗号化の問題（CWE-310）

CVE-2004-2761 

 この脆弱性は、コンテキスト依存の攻撃者によるスプーフィング攻撃を容易にする可能性があります。
2

不十分な暗号強度（CWE-326）

CVE-2013-2566 

 この脆弱性は、リモートの攻撃者が、同じ平文を使用している多数のセッションでの暗号文の統計分析を介した平文回復攻撃をより容易にする可能性があります。
3

権限のない行為者に機密情報が漏えい（CWE-200）

CVE-2016-2183 

 この脆弱性は、リモートの攻撃者が、長時間の暗号化セッションに対して誕生日攻撃を仕掛け、平文データを取得するのをより容易にする可能性があります。
4

レンダリングされたUIレイヤーまたはフレームの不適切な制限（クリックジャッキング）（CWE-1021）

CVE-2023-6093 

 この脆弱性によって、攻撃者はユーザーをだましてアプリケーションを操作させる可能性があります。
5

機密情報の平文転送（CWE-319）

CVE-2023-6094 

 この脆弱性によって、攻撃者がユーザーアカウントへアクセスし、そのユーザーアカウントが使用している機密データにアクセスする可能性があります。

 

脆弱性評価の詳細

ID 

CVSS 

ベクター

重大度

認証なしのリモートエクスプロイトの可能性 

CVE-2004-2761 

5.0 

AV:N/AC:L/AU:N/C:N/I:P/A:N 

中

あり

CVE-2013-2566 

5.9 

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 

中

あり

CVE-2016-2183 

7.5 

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 

高

あり

CVE-2023-6093 

5.3 

AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N 

中

あり

CVE-2023-6094 

5.3 

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 

中

あり
]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-g3150a-lte-series-multiple-web-application-vulnerabilities-and-security-enhancement Fri, 29 Dec 2023 23:50:00 GMT <![CDATA[ioLogik E1200シリーズWebサーバーの脆弱性]]> バージョン3.3以前のioLogik E1200シリーズは、Webアプリケーションの脆弱性による影響を受けます。

CVE-2023-5961

バージョンv3.3以前のioLogik E1200シリーズファームウェアに、脆弱性が確認されました。攻撃者はこの脆弱性を悪用することで、クライアントをだましWebサーバーに対して意図せぬリクエストを作成させ、それが正規のリクエストとして処理される可能性があります。

CVE-2023-5962

バージョンv3.3以前のioLogik E1200シリーズファームウェアに、脆弱性が確認されました。この脆弱性によって、攻撃者は機密データの機密性を侵害する可能性があります。

 

発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
クロスサイトリクエストフォージェリ（CSRF）（CWE-352）
CVE-2023-5961
 この脆弱性により、攻撃者が被害を受けたユーザーに代わって操作を実行する可能性があります。
2
破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）
CVE-2023-5962
 この脆弱性により、攻撃者が予期せぬ認証を取得する可能性があります。

 

脆弱性評価の詳細

ID CVSS V3.1スコア ベクター 重大度 認証なしのリモートエクスプロイトの可能性
CVE-2023-5961 8.8 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H  高 あり
CVE-2023-5962 6.5 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 中 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-235250-iologik-e1200-series-web-server-vulnerability Sat, 23 Dec 2023 16:50:23 GMT <![CDATA[NPort 6000シリーズ、認証アルゴリズムの不適切な実装による脆弱性]]> NPort 6000シリーズで、認証メカニズムに関する脆弱性が発見されました。この脆弱性は、機密情報保護の不適切な実装に起因し、悪意のあるユーザーがWebサービス上で不正アクセスを実行する可能性があります。


発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
認証アルゴリズムの不適切な実装（CWE-303）
パスワードの復旧可能な形式での保存（CWE-257）
破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）
 
CVE-2023-5627 
 
 攻撃者がWebサービスへの特権アクセスを取得する可能性があります。

 

脆弱性スコアの詳細

ID CVSS v3.1スコア ベクター 重大度 認証なしのリモートエクスプロイトの可能性
CVE-2023-5627 7.5  AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N  高 あり

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-232905-nport-6000-series-incorrect-implementation-of-authentication-algorithm-vulnerability Wed, 01 Nov 2023 22:44:31 GMT <![CDATA[EDR-810/G902/G903シリーズ、Webサーバーのバッファオーバーフローに関する脆弱性]]> EDR-810、EDR-G902、およびEDR-G903シリーズで、サービス拒否攻撃に対する脆弱性が確認されました。この脆弱性はURIの不十分な入力検証に起因しており、悪意のあるユーザーがデバイスの再起動をトリガーする可能性があります。


発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
入力サイズをチェックしないバッファコピー（CWE-120）
CVE-2023-4452 
 攻撃者がデバイスの再起動をトリガーする可能性があります。

 

脆弱性スコアの詳細

ID CVSS v3.1スコア ベクター 重大度 認証なしのリモートエクスプロイトの可能性
CVE-2023-4452 6.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L  中 あり

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-234880-edr-810-g902-g903-series-web-server-buffer-overflow-vulnerability Wed, 01 Nov 2023 21:20:20 GMT <![CDATA[NPort 5000シリーズ、フォームウェアにおける完全性検証不備の脆弱性]]> NPort 5000シリーズのすべてのファームウェアバージョンが、完全性検証不備の脆弱性による影響を受けます。この脆弱性はファームウェアの更新またはアップグレードにおける不十分なチェックに起因しており、悪意のあるユーザーがファームウェアを操作し、デバイスを制御する可能性があります。

発見された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
完全性検証不備の脆弱性（CWE-354）
CVE-2023-4929 
この脆弱性により、アクセス許可のない攻撃者がデバイスを制御する可能性があります。

 

脆弱性評価の詳細

ID CVSS v3.1スコア ベクター 重大度 認証なしのリモートエクスプロイトの可能性
CVE-2023-4929 6.5 AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H 中 なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-233328-nport-5000-series-firmware-improper-validation-of-integrity-check-vulnerability Fri, 20 Oct 2023 22:02:27 GMT <![CDATA[TN-5900シリーズおよびTN-4900シリーズのWebサーバーに関する複数の脆弱性]]> バージョン3.3以前のTN-5900シリーズ、およびバージョン1.2.4以前のTN-4900シリーズは、Webサーバーに関する複数の脆弱性の影響を受けます。入力検証が不十分な場合にこれらの脆弱性が発生します。攻撃者が細工した入力をWebサービスに送信することで、この脆弱性を悪用される可能性があります。悪用された場合、サービス拒否、リモートでのコード実行、権限昇格が起こる可能性があります。

角印された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

不適切な認証（CWE-287）

CVE-2023-33237 

 攻撃者がブルートフォースによって認証パラメータを突破する可能性があります。
2

コマンドで使用される特殊要素の不適切な中立化（「コマンドインジェクション」）（CWE-77）

CVE-2023-33238、CVE-2023-33239、CVE-2023-34213、CVE-2023-34214、CVE-2023-34215

 リモートの攻撃者がWebインターフェースを介してデバイス上で任意のコマンドを実行する可能性があります。
3

制限されたディレクトリに対するパス名の不適切な制限 （「パストラバーサル」）（CWE-22）

CVE-2023-34216、CVE-2023-34217

 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。

 

脆弱性スコアの詳細

ID CVSS v3.1 ベクター 認証なしでのリモートエクスプロイトの可能性
CVE-2023-33237  8.8  AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-33238  7.2  AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-33239  8.8  AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-34213  8.8  AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-34214  7.2  AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-34215  7.2  AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H  なし
CVE-2023-34216  8.1  AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H  なし
CVE-2023-34217  8.1  AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H  なし
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230402-tn-5900-and-tn-4900-series-web-server-multiple-vulnerabilities Fri, 20 Oct 2023 12:21:39 GMT <![CDATA[NPort 5600シリーズ暗号アルゴリズムのセキュリティ強化]]> NPort 5600シリーズで、暗号化キーと暗号スイートを含む、暗号アルゴリズムが強化されました。

セキュリティ強化

  1. 暗号化キー
    RSA鍵の長さが1024から2048に増加しました。
  2. 静的キー暗号化
    強度が中程度の暗号スイートであるTLS_RSA_WITH_AES_128_CBC_SHAおよびTLS_RSA_WITH_AES_128_GCM_SHA256が削除されました。
  3. 強力な暗号アルゴリズム
    強力な暗号スイートであるECDHE-RSA-AES128-SHA256およびECDHE-RSA-AES128-GCM-SHA256を使用します。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-221202-nport-5600-series-cryptographic-algorithm-security-enhancements Mon, 04 Sep 2023 18:04:37 GMT <![CDATA[MXsecurityシリーズの複数の脆弱性]]> これらの脆弱性は、認証メカニズムと入力検証の設計または実装が不適切であることが原因で発生します。これらの脆弱性を悪用することで、攻撃者は認証を回避し、認証情報の不正開示や改ざん、機密データへの不正アクセス、許可のないリモートアクセスが実行される可能性があります。


確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
幅の狭い乱数値（CWE-334）
CVE-2023-39979
 攻撃者が認証を回避して不正アクセスを行う可能性があります。
2
SQLコマンド中に使用される特殊要素の不適切な中立化（「SQLインジェクション」）（CWE-89）
CVE-2023-39980
 攻撃者がSQLコマンドを変更して不正アクセスを行い、情報を開示する可能性があります。
3
不適切な認証（CWE-287）
CVE-2023-39981
 攻撃者が不正アクセスを行い、デバイス情報を開示する可能性があります。
4
ハードコードされた資格情報の使用（CWE-798）
CVE-2023-39982
 攻撃者が中間者攻撃を促進し、SSHトラフィックを復号する可能性があります。
5
動的に決定されたオブジェクト属性の不適切に制御された変更（CWE-915）
CVE-2023-39983		 攻撃者がnsm-webアプリケーションを介してデバイスを登録/追加する可能性があります。

 

脆弱性スコアの詳細

ID CVSS V3.1 ベクター 認証なしのリモートエクスプロイトの可能性
CVE-2023-39979 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H あり
CVE-2023-39980 7.1 AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N なし
CVE-2023-39981 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N あり
CVE-2023-39982 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N あり
CVE-2023-39983 5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N あり

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230403-mxsecurity-series-multiple-vulnerabilities Fri, 01 Sep 2023 09:49:32 GMT <![CDATA[ioLogik 4000シリーズのWebサーバーに関する複数の脆弱性および不適切なアクセス制御の脆弱性]]> ioLogik 4000シリーズ（ioLogik E4200）のファームウェアバージョン1.6以前は、Webサーバーに関する複数の脆弱性と不適切なアクセス制御の脆弱性の影響を受けます。

Webサーバーの脆弱性

Webサーバーの脆弱性は、HTTPヘッダーの不適切な設定または実装によって起こります。攻撃者は、この脆弱性を悪用してWebサービスを侵害する可能性があります。

不適切なアクセス制御の脆弱性

不適切なアクセス制御の脆弱性は、既存の未承認サービスの不適切な制御によって発生します。攻撃者は、この未承認サービスに接続することで、この脆弱性を悪用する可能性があります。この脆弱性の悪用は、不正アクセスにつながる可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
既存の未認証サービス
（CWE-284 不適切なアクセス制御）
CVE-2023-4227 
 攻撃者が不正アクセスを行う可能性があります
2
セッションCookie属性が正しく設定されない
（CWE-1004：'HttpOnly'フラグのない機密性の高いCookie）
CVE-2023-4228 
 攻撃者がWebサービスを侵害する可能性があります
3
セッションヘッダーが実装されない
（CWE-1021：レンダリングされたUIレイヤーまたはフレームの不適切な制限）
CVE-2023-4229 
 攻撃者がWebサービスを侵害する可能性があります
4
サーバーバナー情報の開示
（CWE-200：権限のない行為者に機密情報が漏えい）
CVE-2023-4230 
 攻撃者がWebサービスを侵害する可能性があります
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230310-iologik-4000-series-multiple-web-server-vulnerabilities-and-improper-access-control-vulnerability Thu, 24 Aug 2023 09:37:03 GMT <![CDATA[NPort IAW5000A-I/Oシリーズのハードコードされた認証情報の脆弱性 ]]> CVE-2023-4204 

NPort IAW5000A-I/Oシリーズのファームウェアバージョンv2.2以前で脆弱性が確認され、影響を受けるデバイスのセキュリティと完全性に潜在的なリスクが生じます。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
ハードコードされた認証情報の使用
（CWE-798）
この脆弱性はハードコードされたキーの存在に起因しており、ファームウェアの改ざんにつながる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230304-nport-iaw5000a-i-o-series-hardcoded-credential-vulnerability Wed, 16 Aug 2023 22:31:38 GMT <![CDATA[NTPサービス拒否の脆弱性によって影響を受ける複数のスイッチシリーズ]]> 以下の脆弱性は、Moxaのスイッチシリーズの一部に影響します。攻撃者がCPUとログを過剰に消費する可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
管理されていない再帰
（CWE-674）
 リモートの認証されていない攻撃者が、脆弱なNTPサーバーでサービス拒否状態を引き起こすことが可能になるおそれがあります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230307-multiple-switch-series-affected-by-ntp-denial-of-service-vulnerability Wed, 02 Aug 2023 22:52:16 GMT <![CDATA[NPort 5110シリーズの脆弱性]]> NPort 5110シリーズに複数の脆弱性が見つかりました。これによりリモートの攻撃者がサービス拒否攻撃を実行したり、メモリ内の特定の値を上書きして情報を利用不能にしたりすることができます。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

境界外書き込み（CWE-787）

CVE-2022-2044

 メモリ内の特定の値が利用できなくなる可能性があります。
2

境界外書き込み（CWE-787）

CVE-2022-2043

 脆弱性により、リモートの攻撃者がサービス拒否攻撃を実行できるようになります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport5110-series-vulnerabilities Mon, 31 Jul 2023 12:00:00 GMT <![CDATA[脆弱性「PwnKit」に関するMoxaの対応]]> Qualysの研究チームは、polkitのpkexecにおけるメモリのデータ破損の脆弱性を発見しました。pkexecはあらゆる主要LinuxディストリビューションにおいてデフォルトでインストールされているSUID rootプログラムです。この容易に悪用可能な脆弱性により、適切なアクセスレベルを持たないユーザーが脆弱なホストのデフォルト設定でこの脆弱性を悪用し、そのホストの完全なroot権限を獲得することが可能となります。

Moxaはこの脆弱性について調査を実施し、Moxaの一部デバイスが影響を受けることを確認しました。これを受け、Moxaはその脆弱性に対処するための対策を開発しました。詳しくは、以下の「影響を受ける製品」と「対処方法」のセクションを参照してください。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-pwnkit-vulnerability Fri, 14 Jul 2023 10:00:00 GMT <![CDATA[Armベースコンピュータにおける　不適切な権限管理の脆弱性]]> 不適切な権限管理の脆弱性が悪用された場合、通常の権限を持つローカルユーザーが、影響を受けるデバイスへのroot権限を得るために設定を変更できる可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

不適切な権限管理（CWE-269）

 権限レベルが低いローカルユーザーがroot権限を得るために設定を変更する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/arm-based-computer-improper-privilege-management-vulnerability Fri, 14 Jul 2023 00:00:00 GMT <![CDATA[TN-5900シリーズのユーザー列挙に関する脆弱性]]> TN-5900シリーズではユーザー列挙の脆弱性が存在します。この脆弱性により、ユーザーがWebログインページを介してパスワードを復元する際に、リモートの攻撃者がそのユーザーが有効かどうかを判別し、有効なユーザーを使用してブルートフォース攻撃を仕掛けることが可能になる恐れがあります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 CWE-204：観測可能な応答の相違

リモートの攻撃者が機密情報を取得する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mpsa-230401-tn-5900-series-user-enumeration-vulnerability Mon, 03 Jul 2023 14:07:41 GMT <![CDATA[CN2600シリーズの暗号アルゴリズムに関する複数の脆弱性 ]]> CN2600シリーズには以下の脆弱性の影響があります。攻撃者が接続を侵害し、機密情報が漏洩する可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

弱い暗号アルゴリズム

（CWE-327：破られた、または危険な暗号アルゴリズムの使用）

 攻撃者が認証をバイパスし、鍵を盗み、リモート接続に提供する完全性を低下させる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/cn2600-series-multiple-weak-cryptographic-algorithm-vulnerabilities Mon, 05 Jun 2023 14:00:03 GMT <![CDATA[Mxsecurityコマンドインジェクションおよびハードコードされた資格情報の脆弱性]]> CVE-2023-33235 (ZDI-CAN-19895)
SSH CLIプログラムにおいて、認証権限を取得した攻撃者が悪用できる脆弱性が報告されています。攻撃者は、制限されたシェルを侵害し、その後、任意のコードを実行する可能性があります。

CVE-2023-33236 (ZDI-CAN-19896)
任意のJWTトークンを作成し、その後WebベースのAPIの認証をバイパスするために悪用できる脆弱性が報告されています。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
コマンド中に使用される特殊要素の不適切な中立化（「コマンドインジェクション」）（CWE-77）
CVE-2023-33235 (ZDI-CAN-19895)
認証権限を取得したリモートの攻撃者が、デバイス上で任意のコマンドを実行する可能性があります。
2
ハードコードされた資格情報の使用（CWE-798）
CVE-2023-33236 (ZDI-CAN-19896)
攻撃者はWebベースのAPIの認証をバイパスできる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxsecurity-command-injection-and-hardcoded-credential-vulnerabilities Mon, 29 May 2023 13:38:23 GMT <![CDATA[TCG TPM2.0実装によるメモリ破損の脆弱性に関するMoxaの対応（CVE-2023-1017/CVE-2023-1018）]]> CVE-2023-1017 

TPM 2.0のモジュールライブラリに境界外書き込みの脆弱性が存在し、CryptParameterDecryptionルーチンでTPM 2.0コマンドの末尾以降に2バイトのデータを書き込むことができます。攻撃者は、この脆弱性を悪用することで、サービス拒否（TPMチップ/プロセスのクラッシュさせる、または使用不可にする）の実行や、TPMコンテキストで任意のコードを実行する可能性があります。

CVE-2023-1018 

TPM 2.0のモジュールライブラリに境界外読み取りの脆弱性が存在し、CryptParameterDecryptionルーチンでTPM 2.0コマンドの末尾以降に2バイトのデータを読み込むことができます。攻撃者は、この脆弱性を悪用することでTPMに保存されている機密データの読み取りやアクセスする可能性があります。

Moxaは、この脆弱性によって影響を受ける自社製品があるかどうかの調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を直ちにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa’s-response-regarding-the-tcg-tpm2-0-implementations-vulnerable-to-memory-corruption-cve-2023-1017-cve-2023-1018 Fri, 24 Mar 2023 16:51:33 GMT <![CDATA[NPort 6000シリーズおよびユーティリティにおける不正な証明書検証の脆弱性]]> 以下の2つの脆弱性は、NPort 6000シリーズおよびWindows Driver Managerに影響します。攻撃者が中間者攻撃を実行することで、NPort 6000シリーズとWindows Driver Managerの間の接続を傍受する可能性があります。

CVE-2022-43993 

Windows Driver Managerのソフトウェアが証明書の検証を実行しません。

CVE-2022-43994 

安全な接続で実行されるクライアント証明書の検証/認証がありません。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1
不正な証明書検証（CWE-295）
CVE-2022-43993 
 Windows Driver Managerのソフトウェアが証明書の検証を実行しません。攻撃者が中間者攻撃を実行することで、NPort 6000シリーズとWindows Driver Managerの間の接続を傍受する可能性があります。
2
不正な証明書検証（CWE-295）
CVE-2022-43994 
 安全な接続で実行されるクライアント証明書の検証/認証がありません。攻撃者が中間者攻撃を実行することで、NPort 6000シリーズとWindows Driver Managerの間の接続を傍受する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-6000-series-and-utility-improper-certificate-validation-vulnerabilities Tue, 14 Mar 2023 15:57:14 GMT <![CDATA[networkd-dispatcher（D-bus）において権限昇格につながるLinuxの脆弱性、Nimbuspwn（CVE-2022-29799、CVE-2022-29800）に関するMoxaの対応]]> networkd-dispatcherには2つの脆弱性があります。1つ目の脆弱性は、あらゆる機能がnetworkd-dispatcherのOperationalStateまたはAdministrativeStateによってサニタイズされないために存在し、この攻撃は、「/etc/networkd-dispatcher」のベースディレクトリから逃れるためにディレクトリトラバーサルを引き起こします。もうひとつは、time-of-check-time-of-use（TOCTOU）競合状態として知られる脆弱性です。これは、スクリプトが検出されてから実行されるまでの間に一定の時間があるために存在します。攻撃者はこの脆弱性を利用して、rootによって所有されているとnetworkd-dispatcherが認識しているスクリプトを、そうでないスクリプトに置き換えることができます。

Moxaは、この脆弱性によって影響を受ける自社製品があるかどうかの調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa’s-response-regarding-the-networkd-dispatcher-d-bus-elevation-of-privileges-linux-vulnerability,-nimbuspwn Mon, 06 Mar 2023 21:43:31 GMT <![CDATA[uClibcおよびuClibc-ngライブラリに存在し、単調増加するDNSトランザクションIDの脆弱性に関するMoxaの対応]]> 1.0.40以前のuClibc-ngライブラリおよび0.9.33.2以前のuClibcライブラリでは、予測可能なDNSトランザクションIDを使用していますが、これはDNSキャッシュポイズニングを引き起こす可能性があります。


Moxaは、この脆弱性によって影響を受ける自社製品があるかどうかの調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。


Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/the-uclibc-ng-libraries-through-to-1-0-40-and-uclibc-libraries-through-to-0-9-33-2-use-predictable-dns-transaction-ids-t Mon, 13 Feb 2023 00:00:00 GMT <![CDATA[SDS-3008シリーズにおける複数のWebの脆弱性]]> SDS-3008シリーズWebサーバーは、複数の脆弱性による影響を受けます。
- リモート攻撃者によって許可されていない情報の漏えいや、サービス拒否攻撃が実行される可能性があります。
- リモート攻撃者によって無防備なユーザーのブラウザで任意のスクリプトコードを実行される可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 機密情報の平文転送（CWE-319）
CVE-2022-40693		 MoxaのSDS-3008シリーズ産業用イーサネットスイッチv2.1のWebアプリケーション機能には、平文転送に対する脆弱性が存在します。巧妙に細工されたネットワークスニッフィングツールは、機密情報の漏えいにつながる場合があります。攻撃者がネットワークトラフィックを盗聴して、この脆弱性をトリガーできます。
2 不十分なリソースプール（CWE-410）
CVE-2022-40224		 MoxaのSDS-3008シリーズ産業用イーサネットスイッチv2.1のWebサーバー機能には、サービス拒否に対する脆弱性が存在します。巧妙に細工されたHTTPメッセージはサービス拒否攻撃につながる場合があります。攻撃者はHTTPリクエストを送信することで、この脆弱性をトリガーできます。
3 Webページ生成時の入力の不適切な中立化（CWE-79）
CVE-2022-41311、CVE-2022-41312、CVE-2022-41313		 MoxaのSDS-3008シリーズ産業用イーサネットスイッチv2.1のWebアプリケーション機能には、格納型クロスサイトスクリプティングに対する脆弱性が存在します。巧妙に細工されたHTTPリクエストは、任意のJavaScriptコードの実行につながる場合があります。攻撃者はHTTPリクエストを送信することで、この脆弱性をトリガーできます。
4 情報露出（CWE-200）
CVE-2022-40691		 MoxaのSDS-3008シリーズ産業用イーサネットスイッチv2.1のWebアプリケーション機能には、情報漏えいに対する脆弱性が存在します。巧妙に細工されたHTTPリクエストは、機密情報の漏えいにつながる場合があります。攻撃者はHTTPリクエストを送信することで、この脆弱性をトリガーできます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/sds-3008-series-multiple-web-vulnerabilities Thu, 02 Feb 2023 00:00:00 GMT <![CDATA[TN-4900シリーズにおけるハードコードされた資格情報の脆弱性]]> 組込みの資格情報が使用されると、攻撃者が権限を取得できる場合があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ハードコードされた資格情報
（CWE-798）		 組込みの資格情報が使用されると、攻撃者が権限を取得できる場合があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/tn-4900-series-use-of-hard-coded-credentials-vulnerability Wed, 11 Jan 2023 15:03:38 GMT <![CDATA[セキュアルータEDR/TNシリーズにおける不適切な入力バリデージョンの脆弱性]]> 不適切な入力バリデーションの脆弱性が悪用された場合、リモートの攻撃者によって、Webサービスをクラッシュさせるバッファオーバーフローが引き起こされる可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な入力バリデーション
（CWE-20）		 攻撃者がWebサービスをクラッシュさせることを意図したHTTP/HTTPSリクエストを作成する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/secure-router-edr-n-tn-series-improper-input-validation-vulnerabilities Tue, 29 Nov 2022 00:00:00 GMT <![CDATA[Moxa UCシリーズにおける不適切な物理的アクセス制御の脆弱性]]> 不適切な物理的アクセス制御の脆弱性が悪用された場合、デバイスに物理的にアクセスできる状態の攻撃者が、コンソールポートを使用してデバイスを完全に制御できる可能性があります。

この脆弱性を悪用するためには、攻撃者はケーブルを使用してデバイスのブートローダーメニューにアクセスする必要があります。そのため、適切な物理的セキュリティが講じられていないエリア（アクセス管理が講じられていない開放的なスペースなど）に設置されているデバイスは脆弱性が高くなります。

MoxaのPSIRTは、セキュリティパッチなどの防御策を展開する前に、適切な影響分析とリスク評価を行うことを推奨します。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な物理的アクセス制御
（CVE 2023-1257）		 デバイスに物理的にアクセスできる攻撃者が、デバイスを再起動してBIOSにアクセスする可能性があります。その後、コマンドラインのオプションが変更され、攻撃者によるターミナルへのアクセスを許してしまう可能性があります。攻撃者はターミナルからデバイスの認証ファイルを変更し、新しいユーザープロファイルを作成して、システムへの完全なアクセス権を得ることができます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/uc-series-improper-physical-access-control-vulnerability Tue, 29 Nov 2022 00:00:00 GMT <![CDATA[セキュアルータEDR/TNシリーズにおける不適切な入力検証の脆弱性]]> 不適切な入力検証の脆弱性が悪用された場合、リモートの攻撃者によって、Webサービスをクラッシュさせるバッファオーバーフローが引き起こされる可能性があります。


確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な入力検証
（CWE-20）		 攻撃者がWebサービスをクラッシュさせることを意図したHTTP/HTTPSリクエストを作成する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/secure-router-edr-and-tn-series-improper-input-validation-vulnerabilities Mon, 28 Nov 2022 00:00:00 GMT <![CDATA[TN-5916シリーズにおける権限昇格の脆弱性]]> TN-5916シリーズには、リモートの攻撃者による管理者権限の取得を可能にする恐れがある欠陥が含まれています。Cookieの値を編集することで、攻撃者は自分の権限を通常ユーザーから管理者に変更してサイトに送り返すことができます。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 Cookieの改ざんによる権限昇格の脆弱性 リモートの攻撃者が管理者権限を取得する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/tn-5916-series-privilege-escalation-vulnerability Fri, 25 Nov 2022 00:00:00 GMT <![CDATA[複数のルータにおける不適切な入力検証の脆弱性]]> 不適切な認証または入力検証（あるいはその両方）の脆弱性が悪用された場合、リモートの攻撃者が悪意のあるリクエストによって任意のコードを実行できる可能性があります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

不適切な認証
（CWE-287）
CVE-2022-41758

 適切な認証を経ずに悪用される可能性があるコマンドインジェクションの脆弱性がWebサービスに存在します。
2 不適切な入力検証
（CWE-20）
CVE-2022-41759		 コマンドインジェクションの脆弱性がWebサービスに存在します。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/multiple-routers-improper-input-validation-vulnerabilities Thu, 24 Nov 2022 00:00:00 GMT <![CDATA[NE-4100Tシリーズにおける不適切な認証の脆弱性]]> NE-4100Tシリーズにおける不適切な認証の脆弱性により、リモートの攻撃者がデバイスにアクセスできる状態になります。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な認証の脆弱性（CWE-287） リモートの攻撃者が適切な認証を経ずにデバイスにアクセスする可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/ne-4100t-series-improper-authentication-vulnerability Tue, 15 Nov 2022 00:00:00 GMT <![CDATA[VPortシリーズにおける不適切な入力検証の脆弱性]]> 不適切な入力検証制御が悪用された場合、リモートの攻撃者によってRTSPサービスがクラッシュする可能性があります。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 複数の書式文字列（CVE-2022-38157） MoxaのVPort IPカメラシリーズにおける複数の書式文字列の脆弱性が悪用された場合、RTSPサービスがクラッシュする可能性があります。
2 複数のバッファオーバーフロー（CVE-2022-31858） MoxaのVPort IPカメラシリーズにおける複数のバッファオーバーフローの脆弱性が悪用された場合、RTSPサービスがクラッシュする可能性があります。
3 NULLポインタ逆参照の脆弱性（CVE-2022-38159） MoxaのVPort IPカメラシリーズにおけるNULLポインタの逆参照の脆弱性が悪用された場合、RTSPサービスがクラッシュする可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/vport-series-improper-input-validation-vulnerability Fri, 11 Nov 2022 00:00:00 GMT <![CDATA[OpenSSL X.509メールアドレスによる4バイトのバッファオーバーフローの脆弱性に関するMoxaの対応（CVE-2022-3602）]]> X.509証明書の検証（特に名前の制約チェック）中に、バッファオーバーランが引き起こされる可能性があります。これは証明書チェーンの署名検証の後に発生し、悪意のある証明書に認証局がすでに署名しているか、信頼された発行者へのパスを構築できないにもかかわらずアプリケーションが証明書の検証を継続している場合に起こります。 攻撃者は悪意のあるメールアドレスを作成し、自らが制御する4バイトをスタック上でオーバーフローさせることができます。 このバッファオーバーフローにより、クラッシュ（サービス拒否の原因）の発生や、リモートコードが実行される可能性があります。

Moxaは調査を実施し、この脆弱性によって影響を受ける自社製品が存在しないことを確認しました。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-response-regarding-the-openssl-x-509-email-address-4-byte-buffer-overflow-vulnerability-cve-2022-3602 Fri, 04 Nov 2022 11:08:40 GMT <![CDATA[脆弱性「Apache Struts 2のOGNL二重評価」に関するMoxaの対応]]> タグ属性内の生のユーザー入力について評価が実行された場合に、強制的なOGNL評価がリモートコード実行につながる可能性があります。影響を受けるソフトウェア：Apache Struts 2.0.0～Struts 2.5.25。

Moxaは、この脆弱性によって影響を受ける自社製品が存在するかを判断するために調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-apache-struts2-double-ognl-evaluation-vulnerability Tue, 21 Jun 2022 09:00:00 GMT <![CDATA[脆弱性「Dirty Pipe」に関するMoxaの対応]]> Linuxカーネルのcopy_page_to_iter_pipe関数とpush_pipe関数において、新しいパイプバッファ構造体の「flags」メンバが適切に初期化されないために、古い値を含む可能性があるという欠陥が発見されました。この欠陥を利用して、特権のないローカルユーザーが読み取り専用ファイルで保証されているページキャッシュ内のページに書き込みを行い、それによりシステム上での自身の特権を引き上げる可能性があります。

Moxaは、この脆弱性によって影響を受ける自社製品が存在するかを判断するために調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-dirty-pipe-vulnerability-(1) Fri, 03 Jun 2022 09:00:00 GMT <![CDATA[脆弱性「Dirty Pipe」に関するMoxaの対応]]> Linuxカーネルのcopy_page_to_iter_pipe関数とpush_pipe関数において、新しいパイプバッファ構造体の「flags」メンバが適切に初期化されないために、古い値を含む可能性があるという欠陥が発見されました。この欠陥を利用して、特権のないローカルユーザーが読み取り専用ファイルで保証されているページキャッシュ内のページに書き込みを行い、それによりシステム上での自身の特権を引き上げる可能性があります。

Moxaは、この脆弱性によって影響を受ける自社製品が存在するかを判断するために調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-dirty-pipe-vulnerability Fri, 03 Jun 2022 09:00:00 GMT <![CDATA[脆弱性「IPsec ESP」に関するMoxaの対応]]> net/ipv4/esp4.cとnet/ipv6/esp6.cのIPsec ESPの変換コードに、ヒープバッファオーバーフローの欠陥が見つかりました。この欠陥により、通常のユーザー権限を持つローカルの攻撃者が、カーネルのヒープオブジェクトを上書きできるようになり、さらにローカル権限を引き上げる可能性があります。
Moxaは、この脆弱性によって影響を受ける自社製品が存在するかを判断するために調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-ipsec-esp-vulnerability Mon, 16 May 2022 10:00:00 GMT <![CDATA[MXviewの特権引き上げによる脆弱性 ]]> MXview v3.0以降のリモートコード実行（RCE）脆弱性により、ローカル特権を持つ攻撃者はシステム特権を獲得し、細工されたモジュールを介して任意のコードを実行することが可能となります。


見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 コード生成の不適切な制御（CWE-94） ローカル特権を持つ攻撃者がシステム特権を獲得し、
細工されたモジュールを介して任意のコードを実行できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxview-privilege-escalation-vulnerability Tue, 03 May 2022 10:00:00 GMT <![CDATA[脆弱性「Spring Shell」に関するMoxaの対応（CVE-2022-22965）]]> この脆弱性は、JDK 9+上で実行しているSpring MVCアプリケーションおよびSpring WebFluxアプリケーションに影響を及ぼします。この脆弱性を具体的に悪用するためには、アプリケーションがTomcatでWARデプロイとして実行されている必要があります。アプリケーションがSpring Bootの実行可能なjarとしてデプロイされている場合、すなわちデフォルトの場合、アプリケーションはこの悪用に対して脆弱ではありません。しかし、この脆弱性の本質はより一般的なものであり、ほかの悪用方法が存在する可能性もあります。

Moxaは、この脆弱性によって影響を受ける自社製品が存在するかを判断するために調査を実施しています。このたびの公開時点では、影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-spring-shell-vulnerability-cve-2022-22965 Tue, 19 Apr 2022 12:00:00 GMT <![CDATA[Moxa製品のセキュリティ強化に向けた推奨事項 ]]> Moxaは最近、不正なユーザーらがデフォルトのパスワードを利用してMoxaの製品にアクセスしたことを確認しました。Moxaは、デフォルトのパスワードを変更してネットワークセキュリティを強化することをすべてのユーザーに推奨いたします。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/suggestions-for-enhancing-the-security-of-moxas-products Fri, 25 Mar 2022 14:00:00 GMT <![CDATA[MXviewシリーズのネットワーク管理ソフトウェアの脆弱性]]> MoxaのMXviewシリーズのネットワーク管理ソフトウェアに、複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ハードコード化された資格情報の使用
（CWE-798）
CVE-2021-40390		 攻撃者が巧妙に細工されたHTTPリクエストを送信し、不正なアクセス権を取得することが可能となります。
2 機密情報の平文転送（CWE-319）
CVE-2021-40392		 攻撃者がネットワークトラフィックを盗聴して、機密情報を悪用することが可能となります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities-(1) Thu, 17 Mar 2022 12:00:00 GMT <![CDATA[MGate MB3170/MB3270/MB3280/MB3480シリーズのプロトコルゲートウェイの脆弱性 ]]> MoxaのMGate MB3170/MB3270/MB3280/MB3480シリーズのプロトコルゲートウェイに、製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 エンドポイント以外でチャネルにアクセス可能（CWE-300） 攻撃者がこのデバイス上で中間者（MITM）攻撃を実行できるようになります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-mb3170-mb3270-mb3280-mb3480-protocol-gateways-vulnerability Thu, 17 Feb 2022 10:00:00 GMT <![CDATA[EDR-G903、EDR-G902、およびEDR-810シリーズのセキュアルータの脆弱性]]> MoxaのEDR-G903シリーズ、EDR-G902シリーズ、およびEDR-G810シリーズのセキュアルータに脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ハードコード化された資格情報（CWE-798） 埋め込まれた資格情報の使用により、攻撃者は細工された資格情報でデバイスにアクセスできる可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-g903-g902-810-secure-routers-vulnerability-(1) Fri, 11 Feb 2022 10:00:00 GMT <![CDATA[脆弱性「Apache Log4j」に関するMoxaの対応]]> ロギングツールLog4jは、次の問題に対して脆弱となっています：CVE-2017-5645、CVE-2020-9488、CVE-2021-44228、CVE-2021-44832、CVE-2021-45046、CVE-2021-45105。これらの脆弱性の詳細な情報については、「Apache Log4j Security Vulnerabilities」のページの「Description」セクションを参照してください。

このたびの公開時点では、これらの脆弱性によって影響を受けるMoxaの製品はありません。

Moxaの製品セキュリティインシデント対策チーム（PSIRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-s-response-regarding-the-apache-log4j-vulnerability Thu, 27 Jan 2022 12:00:00 GMT <![CDATA[VPort 06EC-2VシリーズとVPort 461AシリーズのIPカメラおよびビデオサーバーの脆弱性]]> MoxaのVPort 06EC-2VシリーズのIPカメラとVPort 461Aシリーズのビデオサーバーに複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 NULLポインタの逆参照 数字のみからなるCookieパラメータをアプリケーションが許可するため、攻撃者がブルートフォース攻撃を実行して認証をバイパスし、デバイス機能にアクセスすることを容易にしています。
2 整数のアンダーフロー 攻撃者がHTTPリクエストの要素を編集し、デバイスを利用不能にする可能性があります。
3 範囲外の読み取り 攻撃者がHTTPリクエストの要素を編集し、機密情報を読み取ったり、デバイスを利用不能にする可能性があります。
4 メモリリーク 細工されたパケットの継続的な送信により、影響を受けるデバイスにメモリリークが発生し、デバイス上の残りメモリが使い果たされる可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/vport-06ec-2v-vport-461a-ip-cameras-video-servers-vulnerabilities Thu, 13 Jan 2022 10:00:00 GMT <![CDATA[脆弱性「dnsmasq」に関するMoxaの対応]]> Moxaは、dnsmasqの一連の脆弱性（「DNSpooq」と呼ばれる）について明らかにしたJSOF研究所の報告書を調査しました。DNSpooq脆弱性には、バッファオーバーフローとDNS応答の検証の問題という2つの種類が存在します。バッファオーバーフロー（CVE-2020-25681、CVE-2020-25682、CVE-2020-25683、CVE-2020-25687）は、リモートコード実行とDoS攻撃につながる可能性があります。DNS応答の検証の問題（CVE-2020-25684、CVE-2020-25685、CVE-2020-25686）は、DNSキャッシュポイズニングに対して脆弱です。

Moxaはこれらの脆弱性について調査を実施し、これらの脆弱性により、AWK-3131A/4131A/1137C/1131Aシリーズが影響を受けることを確認しました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。
 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/vulnerabilities-in-dnsmasq-affecting-awk-3131a-4131a-1137c-1131a-series Thu, 06 Jan 2022 10:00:00 GMT <![CDATA[EDR-G903、EDR-G902、およびEDR-810シリーズのセキュアルータの脆弱性]]> MoxaのEDR-G903、EDR-G902、およびEDR-810シリーズに、複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 メモリリーク 細工されたパケットの継続的な送信により、影響を受けるデバイスにメモリリークが発生し、メモリが必要なくなったときにも解放されない可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-g903-g902-810-secure-routers-vulnerability Thu, 06 Jan 2022 10:00:00 GMT <![CDATA[AWK-3131A/4131A/1131A/1137Cシリーズ無線AP/ブリッジ/クライアントの脆弱性]]> Moxa AWK-3131A/4131A/1131A/1137Cシリーズの 無線AP/ブリッジ/クライアントに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証に対するコマンドインジェクション（CWE-77）、CVE-2021-37752 リモートの攻撃者が、Webインターフェースを介してデバイス上で任意のコマンドを実行することができます。
2 認証回避と暗号化されていない資格情報
（CWE-303、CWE-256）、CVE-2021-37753、CVE-2021-37755		 リモートの攻撃者が、認証メカニズムを回避することができます。
3 バッファオーバーフローを引き起こす不適切な制限
（CWE-119）、CVE-2021-37757		 リモートの攻撃者が、デバイスのサービスをクラッシュさせることができます。
4 権限のない行為者への機密情報の漏えい（CWE-204）、CVE-2021-37751 リモートの攻撃者が、機密情報を取得することができます。
5 過度な認証試行に対する不適切な制限
（CWE-307）、CVE-2021-37754		 リモートの攻撃者が、ブルートフォース攻撃を用いて資格情報を取得することができます。
6 クロスサイトスクリプティング（XSS）
（CWE-79）、CVE-2021-37756		 リモートの攻撃者が、Webインターフェースを介してシステムにHTMLやJavaScriptを挿入することができます。
7 ファームウェアの不適切な検証
（CWE-347）、CVE-2021-37758		 攻撃者がデバイスに対して悪意のあるファームウェアを作成することができます。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/awk-3131a-4131a-1131a-1137c-wireless-ap-bridge-client-vulnerabilities Thu, 30 Dec 2021 10:00:00 GMT <![CDATA[OnCell G3150A/G3470AシリーズおよびWDR-3124Aシリーズセルラーゲートウェイ/ルータの脆弱性]]> MoxaのOnCell G3150A/G3470AシリーズおよびWDR-3124Aシリーズセルラーゲートウェイ/ルータに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。


確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証に対するコマンドインジェクション（CWE-77）、CVE-2021-37752 リモートの攻撃者が、Webインターフェースを介してデバイス上で任意のコマンドを実行することができます。
2 認証回避と暗号化されていない資格情報
（CWE-303、CWE-256）、CVE-2021-37753、CVE-2021-37755		 リモートの攻撃者が、認証メカニズムを回避することができます。
3 バッファオーバーフローを引き起こす不適切な制限
（CWE-119）、CVE-2021-37757		 リモートの攻撃者が、デバイスのサービスをクラッシュさせることができます。
4 権限のない行為者への機密情報の漏えい（CWE-204）、CVE-2021-37751 リモートの攻撃者が、機密情報を取得することができます。
5 過度な認証試行に対する不適切な制限
（CWE-307）、CVE-2021-37754		 リモートの攻撃者が、ブルートフォース攻撃を用いて資格情報を取得することができます。
6 ファームウェアの不適切な検証
（CWE-347）、CVE-2021-37758		 攻撃者がデバイスに対して悪意のあるファームウェアを作成することができます。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-g3150a-g3470-wdr-3124a-cellular-gateways-router-vulnerabilities Thu, 30 Dec 2021 10:00:00 GMT <![CDATA[TAP-213/TAP-323シリーズ無線AP/ブリッジ/クライアントの脆弱性]]> MoxaのTAP-213/TAP-323シリーズ無線AP/ブリッジ/クライアントに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証に対するコマンドインジェクション（CWE-77）、CVE-2021-37752 リモートの攻撃者が、Webインターフェースを介してデバイス上で任意のコマンドを実行することができます。
2 認証回避と暗号化されていない資格情報
（CWE-303、CWE-256）、CVE-2021-37753、CVE-2021-37755		 リモートの攻撃者が、認証メカニズムを回避することができます。
3 バッファオーバーフローを引き起こす不適切な制限
（CWE-119）、CVE-2021-37757		 リモートの攻撃者が、デバイスのサービスをクラッシュさせることができます。
4 権限のない行為者への機密情報の漏えい（CWE-204）、CVE-2021-37751 リモートの攻撃者が、機密情報を取得することができます。
5 過度な認証試行に対する不適切な制限
（CWE-307）、CVE-2021-37754		 リモートの攻撃者が、ブルートフォース攻撃を用いて資格情報を取得することができます。
6 クロスサイトスクリプティング（XSS）
（CWE-79）、CVE-2021-37756		 リモートの攻撃者が、Webインターフェースを介してシステムにHTMLやJavaScriptを挿入することができます。
7 ファームウェアの不適切な検証
（CWE-347）、CVE-2021-37758		 攻撃者がデバイスに対して悪意のあるファームウェアを作成することができます。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/tap-213-tap-323-series-wireless-ap-bridge-client-vulnerabilities Thu, 30 Dec 2021 10:00:00 GMT <![CDATA[MGate 5109およびMGate 5101-PBM-MNシリーズプロトコルゲートウェイの脆弱性]]> MoxaのMGate 5109およびMGate 5101-PBM-MNシリーズプロトコルゲートウェイに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 メモリリーク 細工されたパケットの継続的な送信により、影響を受けるデバイスにメモリリークが発生し、メモリが必要なくなったときにも解放されない可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-5109-5101-protocol-gateways-vulnerability Tue, 28 Dec 2021 10:00:00 GMT <![CDATA[TN-5900シリーズセキュアルータの脆弱性]]> MoxaのTN-5900シリーズセキュアルータに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 メモリリーク 細工されたパケットの継続的な送信により、影響を受けるデバイスにメモリリークが発生し、メモリが必要なくなったときにも解放されない可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/tn-5900-secure-routers-vulnerability Tue, 28 Dec 2021 10:00:00 GMT <![CDATA[TN-5900シリーズセキュアルータの脆弱性]]> MoxaのTN-5900シリーズセキュアルータに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ファームウェアに、デバイスの完全性を保護するためのアルゴリズムが脆弱性がありました。 攻撃者が容易にファームウェアを改変し、検査メカニズムを回避できる可能性があります。
2 コマンドインジェクション 攻撃者が悪意のあるコードを挿入し、デバイスに損害を与えることができる可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/tn-5900-secure-routers-vulnerabilities Tue, 28 Dec 2021 10:00:00 GMT <![CDATA[MGate MB3180/MB3280/MB3480シリーズプロトコルゲートウェイの脆弱性]]> MoxaのMGate MB3180/MB3280/MB3480シリーズに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 機密情報の平文転送（CWE-319）、CVE-2021-4161 リモートの攻撃者が、機密情報を取得することができます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-mb3180-mb3280-mb3480-protocol-gateways-vulnerability Thu, 23 Dec 2021 10:00:00 GMT <![CDATA[NPort W2150A/W2250Aシリーズ シリアルデバイスサーバーの脆弱性]]> MoxaのNPort W2150A/W2250Aシリーズシリアルデバイスサーバーに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

確認された脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 コマンドインジェクション Webサーバーの脆弱性により、管理者権限を持つ認証されたユーザーが、ルートオペレーティングシステム上でコードを実行することが可能となっています。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-w2150a-w2250a-serial-device-servers-vulnerability Tue, 14 Dec 2021 10:00:00 GMT <![CDATA[脆弱性「InterNiche Stack（INFRA:HALT）」に関するMoxaの対応]]> セキュリティ研究者らにより、HCC EmbeddedのInterNiche stack（NicheStack）およびNicheLiteに14件の脆弱性が発見されました。これらの脆弱性はネットワークパケットの処理に関するものであり、不正な攻撃者は巧妙に細工したネットワークパケットを利用してサービス拒否（DoS）攻撃を引き起こしたり、情報を流出させたり、リモートからターゲットデバイス上で任意のコードを実行したりする可能性があります。

このたびの公開時点では、これらの脆弱性のうちMoxa製品に影響を及ぼすものはありません。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-interniche-stack-infra-halt-vulnerabilities Thu, 02 Dec 2021 09:30:00 GMT <![CDATA[Realtek AP-ルータSDKの脆弱性に関するMoxaの対応]]> RealtekのSDKに複数の脆弱性が見つかりました。これらの脆弱性により、リモートの不正な攻撃者がターゲットデバイスを侵害し、最高レベルの特権で任意のコードを実行することが可能となります。

このたびの公開時点では、これらの脆弱性のうちMoxa製品に影響を及ぼすものはありません。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-realtek-ap-router-sdk-vulnerabilities Thu, 02 Dec 2021 00:00:00 GMT <![CDATA[ioPAC 8500およびioPAC 8600シリーズ（IECモデル）コントローラにおける脆弱性]]> Moxaの頑丈なモジュラー型プログラマブルコントローラであるioPAC 8500シリーズ（IECモデル）およびioPAC 8600シリーズ（IECモデル）に、複数の脆弱性が見つかりました。これを受け、Moxaはこれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 相対パストラバーサル（CWE23）CVE-2020-25176 リモートにいる認証されていない攻撃者が、アプリケーションのディレクトリをトラバースし、リモートでコードが実行される可能性があります。
2 機密情報の平文での送信（CWE-319）CVE-2020-25178 データが暗号化されていないプロトコルを介して転送されるため、リモートにいる攻撃者がファイルをアップロード、読み取り、削除する可能性があります。
3 ハードコード化された暗号鍵の使用（CWE-321）CVE-2020-25180 リモートにいる認証されていない攻撃者が、独自の暗号化されたパスワードをISaGRAF 5ランタイムに渡す可能性があり、デバイス上で情報の漏えいを起こす恐れがあります。
4 保護されていない認証情報の保存（CWE-256）CVE-2020-25184 認証されていない攻撃者が、現場でユーザーのパスワードを侵害し、情報漏えいを起こす可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/iopac-8500-and-iopac-8600-series-iec-models-controllers-vulnerabilities Wed, 01 Dec 2021 00:00:00 GMT <![CDATA[NPort IAW5000A-I/Oシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort IAW5000A-I/Oシリーズのサーバーに複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ファームウェアでのハードコードされた暗号鍵の使用（CWE-321）、権限のない行為者への機密情報の漏えい（CWE-200）
BDU:2021-05559		 悪意のあるユーザーが、ハードコードされたパスワードを通じてアクセス権を取得することができます。
2 プログラムモジュールでのハードコードされた暗号鍵の使用（CWE-321）
BDU:2021-05560		 悪意のあるユーザーが、ハードコードされた暗号鍵を通して、機密データを暗号化する可能性が高くなります。
3 脆弱性のあるプラットフォームに依存したサードパーティ製コンポーネントの使用（CWE-1103）
BDU:2021-05561		 古いWebサーバーコンポーネントに未修正の脆弱性が含まれている可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-iaw5000a-io-serial-device-servers-vulnerabilities-(1) Tue, 23 Nov 2021 10:00:00 GMT <![CDATA[ioLogik E2200シリーズのコントローラ、I/O、およびioAdmin Configuration Utilityの脆弱性]]> MoxaのioLogik E2200シリーズのコントローラ、I/O、およびioAdmin Configuration Utilityに複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

ioLogik E2200シリーズについて見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な認証（CWE-285）とクライアント側認証の使用（CWE-603）
BDU:2021-05548		 攻撃者が特別なネットワークパッケージを作成して、認証情報を取得したり、さらには認証チェックを回避したりすることが可能となります。
2 ハードコードされたパスワードの使用（CWE-259）
BDU:2021-05549		 悪意のあるユーザーが、ハードコードされたパスワードを通じてアクセス権を取得することができます。
3 不適切なアクセス制御（CWE-284）
BDU:2021-05550		 不正アクセスの制限の欠如または不適切な制限
4 スタックベースのバッファオーバーフロー（CWE-121）
BDU:2021-05551		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を開始し、任意コード実行（RCE）を行うことができるようになっています。
5 入力サイズのチェックなしのバッファコピー（CWE-120）
BDU:2021-05552		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を開始できるようになっています。
6 スタックベースのバッファオーバーフロー（CWE-121）および潜在的な不適切な認証（CWE-285）
BDU:2021-05553		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を開始し、任意コード実行（RCE）を行うことができるようになっており、認証を回避できる可能性もあります。
7 スタックベースのバッファオーバーフロー（CWE-121）および潜在的な不適切な認証（CWE-285）
BDU:2021-05554		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を開始し、任意コード実行（RCE）を行うことができるようになっており、認証を回避できる可能性もあります。
8 スタックベースのバッファオーバーフロー（CWE-121）および潜在的な不適切な認証（CWE-285）
BDU:2021-05555		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を開始し、任意コード実行（RCE）を行うことができるようになっており、認証を回避できる可能性もあります。


ioAdmin Configuration Utilityについて見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
9 脆弱なパスワード要件（CWE-521）
BDU:2021-05556		 脆弱なパスワード要件により、攻撃者がブルートフォース攻撃を用いてデバイスに対するアクセス権を取得できる可能性があります。
10 過度な認証試行に対する不適切な制限（CWE-307）
BDU:2021-05557		 脆弱なパスワード要件により、攻撃者がブルートフォース攻撃を用いてデバイスに対するアクセス権を取得できる可能性があります。
11 メモリ内での機密情報の平文保存（CWE-316）br /> BDU:2021-05558 攻撃者がマルウェアを利用して、デバイスのメモリ内に保存されている機密データを取得することができます。
 
]]> https://www.moxa.com/jp/support/product-support/security-advisory/iologik-e2200-ioadmin-configuration-utility-vulnerabilities Tue, 23 Nov 2021 10:00:00 GMT <![CDATA[MGate MB3180/MB3280/MB3480シリーズのプロトコルゲートウェイの脆弱性]]> MoxaのMGate MB3180/MB3280/MB3480シリーズに、複数の脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 サービス拒否攻撃
CVE-2021-33823		 攻撃者が大量のパケットを送りつけてWebサーバーのリソースを枯渇させることで、サービス拒否攻撃を実行できる可能性があります。
2 サービス拒否攻撃
CVE-2021-33824		 攻撃者が不完全なパケットを送ってWebサーバーのリソースを枯渇させることで、サービス拒否攻撃を実行できる可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-mb3180-3280-3480-protocol-gateways-vulnerabilities Fri, 17 Sep 2021 10:00:00 GMT <![CDATA[MXviewシリーズのネットワーク管理ソフトウェアの脆弱性]]> MoxaのMXviewシリーズに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 正しく構成されていないサービスにより、内部通信チャネルに対するリモート接続が可能となります。 望ましくないユーザーがリモートで操作してMQTTを使用できるようになります。
2 ハードコードされたデフォルトのパスワードの使用（CWE-259） ハードコードされたパスワードが使用されている場合、デフォルトのパスワードを使用しているアカウントを通じて、悪意のあるユーザーがアクセス権を取得することができます。
3 特殊要素を不適切に無効化して、リモートコードを実行。 攻撃者が不正なコマンドを実行し、それを利用してソフトウェアを無効化したり、攻撃者が直接アクセスできないはずのデータの読み込みや改変を行ったりできる可能性があります。
4 制限されたディレクトリに対するパス名の不適切な制約を通じたRCE
（「パストラバーサル」）（CWE-22）		 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。
5 制限されたディレクトリに対するパス名の不適切な制約を通じて、不正なユーザーがファイルを読み取ることができます（「パストラバーサル」）（CWE-22）。 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。
6 制限されたディレクトリに対するパス名の不適切な制約を通じて、不正なユーザーがファイルを読み取ることができます（「パストラバーサル」）（CWE-22）。 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。
7 制限されたディレクトリに対するパス名の不適切な制約を通じて、ファイルが読み取られる可能性があります（「パストラバーサル」）（CWE-22）。 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。
8 制限されたディレクトリに対するパス名の不適切な制約を通じて、ファイルが編集される可能性があります（「パストラバーサル」）（CWE-22）。 攻撃者がプログラムやライブラリなど、コードの実行に利用される重要なファイルを作成または上書きできる可能性があります。
9 資格情報の保護されていない転送によるパスワード漏えい（CWE-523） 攻撃者が特権にアクセスしたり、別のユーザーのIDを利用したりできる可能性があります。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities Fri, 17 Sep 2021 10:00:00 GMT <![CDATA[TAP-323、WAC-1001、WAC-2004シリーズ無線AP/ブリッジ/クライアントの脆弱性]]> MoxaのTAP-323シリーズとWAC-1001/2004シリーズの鉄道無線コントローラに、複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 メモリバッファ境界内の操作の不適切な制限
CVE-2016-2148		 ヒープベースのバッファオーバーフローにより、DHCPクライアントにおいてリモート攻撃を受ける可能性があります。
2 不適切な入力検証
CVE-2016-7406		 リモートの攻撃者がDropbear SSH機能で任意のコードを実行できるようになっています。
3 バッファオーバーフロー、整数オーバーフローなどを含む複数の脆弱性。
CVE-2012-4412、CVE-2014-5119、
CVE-2014-9402、CVE-2014-9984、
CVE-2018-6485、CVE-2015-7547、
CVE-2015-0235		 旧版のGNU Cライブラリ（glibc）の脆弱性により、攻撃者はサービス拒否や任意のコード実行など、さまざまな悪影響をリモートで引き起こす可能性があります。
4 操作の不適切な制限、管理されていないリソースの消費、nullポインターの逆参照、バッファオーバーフロー、領域外書き込み、特権の管理、クロスサイトスクリプティングなどの複数の脆弱性。
CVE-2008-4609、CVE-2009-1298、
CVE-2010-1162、CVE-2010-4251、
CVE-2010-4805、CVE-2011-0709、
CVE-2011-2525、CVE-2012-0207、
CVE-2012-2136、CVE-2012-3552、
CVE-2012-6638、CVE-2012-6701、
CVE-2012-6704、CVE-2013-7470、
CVE-2014-2523、CVE-2015-1465、
CVE-2015-5364、CVE-2016-10229、
CVE-2016-3134、CVE-2016-4997、
CVE-2016-7039、CVE-2016-7117、
CVE-2016-8666、CVE-2017-1000111、
CVE-2017-11176、CVE-2017-7618、
CVE-2017-8890、CVE-2019-16746、
CVE-2019-3896、CVE-2010-3848、
CVE-2012-0056、CVE-2010-2692		 旧版のLinuxカーネルにおいて、攻撃者がサービス拒否、大量のトラフィックを送信することによるメモリ消費、特権のエスカレーション、任意のコマンド挿入など、さまざまな悪影響をリモートで引き起こす可能性のある脆弱性。
5 ハードコードされた暗号化キーの使用
（「House of Keys」の脆弱性）		 一意でないX.509証明書とSSHホストキーを使用する組み込みデバイスで、なりすまし攻撃、中間者攻撃、またはパッシブ復号化攻撃ができる可能性があります。
6 リソース管理エラー、バッファオーバーフロー、不適切な認証、不適切な入力検証などを含む複数の脆弱性。
CVE-2006-2937、CVE-2006-2940、
CVE-2006-3738、CVE-2009-3245、
CVE-2010-0742、CVE-2010-3864、
CVE-2010-4252、CVE-2012-2110、
CVE-2014-3512、CVE-2014-3567、
CVE-2014-8176、CVE-2015-0292、
CVE-2016-2108、CVE-2016-2109		 旧版のOpenSSLモジュールで、攻撃者がリモートでサービス拒否攻撃の実行や、任意コード実行が可能になる脆弱性。
7 ハードコードされたパスワードハッシュ
CVE-2016-8717		 ハードコードされた暗号化キーを使用すると、不正アクセスが実行される可能性が高くなります。
8 認証されたコマンドインジェクション
CVE-2021-39279		 巧妙に細工されたコマンドは、特権のエスカレーションを引き起こしたり、オペレーティングシステムのユーザーアクセス管理を回避したりする可能性があります。
9 操作された設定ファイルを介したクロスサイトスクリプティングの反映
CVE-2021-39278		 攻撃者がWebインターフェースを介して悪意のある設定ファイルをデバイスにインポートできるようになっています。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/tap-323-wac-1001-2004-wireless-ap-bridge-client-vulnerabilities Wed, 01 Sep 2021 10:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルータの脆弱性]]> MoxaのEDR-810シリーズのセキュアルータに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 破られている、またはリスクのある暗号アルゴリズムの使用 脆弱な暗号アルゴリズムが使用されているために、秘密情報が漏えいする可能性があります。
2 スタックベースのバッファオーバーフロー 攻撃者はこの脆弱性を悪用して、検証されることなくリモートでコード実行ができるようになっています。
3 OSコマンド中に使用される特殊要素の不適切な中立化 特権レベルが低いユーザーとして認証された攻撃者は、脆弱性を悪用して複数のリモートコマンドインジェクションを送信できる可能性があります。
4 ハードコードされた暗号キーの使用 ハードコードされた暗号キーが使用されているため、秘密データが復元される可能性が高まっています。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities-(2) Tue, 17 Aug 2021 00:00:00 GMT <![CDATA[EDS-405Aシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-405Aシリーズに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックベースのバッファオーバーフロー
  1. 攻撃者が任意のコードを実行したり、デバイスをターゲットにして動作を停止させたりする可能性があります。
  2. パスワード検証メカニズムがバッファオーバーフローに対して脆弱であり、攻撃者はこの脆弱性を利用してサービス拒否を引き起こす可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-405a-series-ethernet-switches-vulnerability Mon, 09 Aug 2021 10:00:00 GMT <![CDATA[NPort IAW5000A-I/Oシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort IAW5000A-I/Oシリーズの無線デバイスサーバーに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 バッファオーバーフロー（CWE-120）
BDU:2021-02699、BDU:2021-02702		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃を引き起こす可能性があります。
2 スタックベースのバッファオーバーフロー（CWE-121）
BDU:2021-02700、BDU:2021-02701、BDU:2021-02703、BDU:2021-02704、BDU:2021-02708		 組み込みのWebサーバー内のバッファオーバーフローにより、リモートの攻撃者がDoS攻撃や任意コードの実行（RCE）を引き起こす可能性があります。
3 不適切な入力検証（CWE-20）
BDU:2021-02705、BDU:2021-02706		 組み込みのWebサーバー内に検証なしでデータをコピーできるため、リモートの攻撃者がDoS攻撃を引き起こす可能性があります。
4 OSコマンドインジェクション（CWE-78）
BDU:2021-02707		 組み込みのWebサーバーでの不適切な入力検証により、リモートの攻撃者がOSコマンドを実行する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-iaw5000a-io-serial-device-server-vulnerabilities Thu, 27 May 2021 10:00:00 GMT <![CDATA[NPort IA5000Aシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort IA5000Aシリーズのシリアルデバイスサーバーに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切なアクセスコントロール（CWE-284）
CVE-2020-27149、KLCERT-20-018		 攻撃者がこの脆弱性を悪用して、自身が制御するユーザーの特権レベルを上げたり、より高い特権レベルを要求するリクエストを受信したりできる可能性があります。
2 資格情報の保護されていないストレージ（CWE-256）
CVE-2020-27150、KLCERT-20-019		 攻撃者は、セキュアでない通信チャネルを介して送信された構成ファイルから認証資格情報を抽出できるようになっています。抽出されたデータはその後、Moxaのサービスを介して認証し、デバイス構成を変更するために使用される可能性があります。
3 機密情報の平文転送（CWE-319）
CVE-2020-27184、KLCERT-20-020		 攻撃者は、通信がTelnetを介して実行される場合、認証資格情報、デバイス構成データ、デバイスバージョン、およびその他の機密データを含む、クライアントとデバイス間で伝送されるすべてのデータを読み取ることが可能になります。
4 機密情報の平文転送（CWE-319）
CVE-2020-27185、KLCERT-20-021		 この脆弱性に付け込み、攻撃者はMoxaサービスが有効になっているときに送信されたすべてのトラフィックを読み取る可能性があります。これには、認証データ、デバイス構成、デバイスバージョン、およびその他の機密データが含まれます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-ia5000a-serial-device-servers-vulnerabilities Wed, 28 Apr 2021 10:00:00 GMT <![CDATA[EDR-810シリーズのセキュリティルータの脆弱性]]> MoxaのEDR-810の産業用セキュアルータに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な入力検証
CVE-2014-2284、BDU:2015-07052		 細工されたパケットにより、EDR-810シリーズのSNMP操作が停止する可能性があります。
2 リソース管理エラー
CVE-2015-1788、BDU:2015-11035		 不正な形式のバイナリ多項式フィールドにより、リモートの攻撃者がサービス拒否を引き起こす可能性があります。
3 メモリバッファ境界内の操作の不適切な制限
CVE-2016-10012、BDU:2017-00350		 SSH接続では、サンドボックス内での特権分離プロセスへのアクセスを利用して、ローカルユーザーが特権を取得する可能性があります。
4 権限のない行為者に機密情報が漏えい
CVE-2015-3195、BDU:2016-01654		 不正な形式のデータにより、リモートの攻撃者がデータ復号化の失敗をトリガーして、プロセスメモリから機密情報を取得する可能性があります。
5 不適切な入力検証
CVE-2016-6515、BDU:2018-00117		 パスワード認証用に細工された文字列により、リモートの攻撃者がサービス拒否を引き起こす可能性があります。
6 不適切な入力検証
CVE-2017-17562、BDU:2018-00118		 細工されたHTTPリクエストにより、リモートでコードが実行される可能性があります。
7 暗号化の問題
CVE-2013-0169、BDU:2015-09702		 古いTLSプロトコルを使用した場合、リモートの攻撃者が識別攻撃と平文回復攻撃を実行できるようになる可能性があります。
8 権限のない行為者に機密情報が漏えい
CVE-2016-0703、BDU:2016-00629		 古いSSLプロトコルを使用した場合、中間者攻撃者がTLS暗号文データを解読できるようになる可能性があります。
9 アクセス許可、特権、およびアクセス制御
CVE-2013-1813、BDU:2015-09676		 権限のあるユーザーの不適切な操作により、ローカルユーザーがコンソールを介して未知の影響や攻撃経路を持つ恐れがあります。
10 数値エラー
CVE-2010-2156、BDU:2018-00784		 細工されたDHCPパケットにより、リモートの攻撃者がサービス拒否を引き起こす可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities-(1) Tue, 23 Mar 2021 10:00:00 GMT <![CDATA[VPort 06EC-2VシリーズのIPカメラの脆弱性]]> MoxaのVPort 06EC-2VシリーズのIPカメラに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 NULLポインタの逆参照 数字のみからなるCookieパラメータをアプリケーションが許可している、攻撃者がブルートフォース攻撃を実行して認証をバイパスし、デバイス機能へのアクセスができるようになっています。
2 整数のアンダーフロー 攻撃者がHTTPリクエストの要素を編集し、デバイスを利用不能にする可能性があります。
3 範囲外の読み取り 攻撃者がHTTPリクエストの要素を編集し、機密情報を読んだり、デバイスを利用不能にする可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/vport-06ec-2v-series-ip-cameras-vulnerabilities Tue, 16 Mar 2021 10:00:00 GMT <![CDATA[Sudoヒープベースのバッファオーバーフロー脆弱性（CVE-2021-3156）に関するMoxaの対応]]> Sudoは、多くのLinuxベースのオペレーティングシステムにあるユーティリティであり、ユーザーが別のユーザーのセキュリティ権限でプログラムを実行できるようにします。ヒープベースのバッファオーバーフローの脆弱性が、Sudoバージョン1.8.2～1.8.31p2、および1.9.0～1.9.5p1で発見されました。攻撃者はこの脆弱性を悪用して、影響を受けるシステムをコントロールする可能性があります。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-response-regarding-sudo-heap-based-buffer-overflow-vulnerability-cve-2021-3156 Wed, 17 Feb 2021 10:00:00 GMT <![CDATA[Real Time Automation社製EtherNet/IPスタックの脆弱性に関するMoxaの対応]]> Real Time Automation（RTA）社独自の449ES EtherNet/IP（ENIP）スタックに脆弱性が見つかり、サービス拒否攻撃やリモートコード実行を引き起こす可能性があります。詳しい情報はこちらのWebサイトに掲載されています。

Moxaはこの脆弱性について調査し、影響を受ける自社製品が存在しないことを確認しました。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-rta-enip-stack-vulnerability Thu, 31 Dec 2020 10:00:00 GMT <![CDATA[脆弱性「AMNESIA:33」に関するMoxaの対応]]> 一連の脆弱性が複数のオープンソースTCP/IPスタック（uIP、FNET、picoTCP、およびNut/Net）で発見されており、攻撃者がメモリを破壊し、リモートコード実行を引き起こし、情報を漏えいし、DNSキャッシュを害する可能性があります。詳しい情報はこちらのWebサイトに掲載されています。

Moxaはこの脆弱性について調査し、影響を受ける自社製品が現在存在しないことを確認しました。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-amnesia33-vulnerability Mon, 21 Dec 2020 10:00:00 GMT <![CDATA[MXviewシリーズのネットワーク管理ソフトウェアの脆弱性]]> MoxaのMXviewシリーズのネットワーク管理ソフトウェアに、複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 デフォルトの権限が不正（CWE-276）、CVE-2020-13536、CVE-2020-13537 攻撃者がソースファイルを編集して悪意のあるコードを挿入し、アクセス許可を昇格させる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxview-series-network-management-software-vulnerabilities Tue, 03 Nov 2020 10:00:00 GMT <![CDATA[EDR-810シリーズのセキュリティルータの脆弱性]]> MoxaのEDR-810シリーズのセキュリティルータに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策を開発しました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 任意のコマンドを実行。 BDU:2020-01269 Webサーバーへの巧妙に細工されたリクエストにより、任意のコマンドを実行する潜在的なリスクが発生しました。
2 サービス拒否。 BDU:2020-04912 Webサーバーへの細工されたリクエストにより、サービス拒否の潜在的なリスクが発生しました。
3 システムからの応答がない。 BDU:2020-04914 デバイスへの細工されたリクエストにより、ユーザーインターフェースの特定の部分が応答しなくなる場合があります。
4 システムからの応答がない。 BDU:2020-04915 デバイスへの細工されたリクエストにより、ユーザーインターフェースの特定の部分が応答しなくなる場合があります。
5 システムからの応答がない。 BDU:2020-04916 デバイスへの細工されたリクエストにより、ユーザーインターフェースの特定の部分が応答しなくなる場合があります。
6 システムからの応答がない。 BDU:2020-04913 デバイスへの細工されたリクエストにより、ユーザーインターフェースの特定の部分が応答しなくなる場合があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities Tue, 03 Nov 2020 10:00:00 GMT <![CDATA[EDR-G903、EDR-G902、およびEDR-810シリーズのセキュアルータの脆弱性]]> MoxaのEDR-G903、EDR-G902、およびEDR-810シリーズのセキュアルータに製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 操作の不適切な制限（CWE-119）、CVE-2020-28144 デバイスに送信される、細工されたリクエストは、操作の不適切な制限を引き起こす可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-g903-g902-810-secure-router-vulnerability Thu, 29 Oct 2020 10:00:00 GMT <![CDATA[NPort 5100Aシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort 5100Aシリーズのシリアルデバイスサーバーに脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 Webコンソールを介した特権の昇格 読み取り専用のアクセス権を持つユーザーが、JavaScriptを編集することで書き込み許可を取得し、デバイスの設定を編集できるようになります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-5100a-series-serial-device-servers-vulnerability-(1) Tue, 27 Oct 2020 10:00:00 GMT <![CDATA[NPort IAW5000A-I/Oシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort IAW5000A-I/Oシリーズのシリアルデバイスサーバーに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 セッションフィクセーション（CWE-384）、BDU-2020-04049、CVE-2020-25198 この脆弱性により、攻撃者はセッションにアクセスし、ユーザーのCookieを盗んでセッションをハイジャックすることができます。
2 権限管理が不適切
（CWE-269、CWE-266）、BDU-2020-04050、CVE-2020-25194		 この脆弱性により、ユーザー権限を持つユーザーが管理者権限でリクエストを実行できるようになります。
3 脆弱なパスワード要件
（CWE-521）、BDU-2020-04051、CVE-2020-25153		 この脆弱性により、ユーザーは脆弱なパスワードを使用することになります。
4 機密情報の平文での送信
（CWE-319）、BDU-2020-04052、CVE-2020-25190		 この脆弱性により、Webサーバーはサードパーティーサービスの資格情報を平文で保存および送信します。
5 過度な認証試行に対する不適切な制限（CWE-307）、BDU-2020-04053、CVE-2020-25196 この脆弱性により、任意の人がブルートフォースを使用してSSH/Telnetセッションでの認証を回避できます。
6 情報漏洩
（CWE-200）、BDU-2020-04054、CVE-2020-25192		 この脆弱性により、攻撃者は正当な許可なしに組み込みWebサービスの機密情報にアクセスできます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-iaw5000a-io-serial-device-servers-vulnerabilities Thu, 08 Oct 2020 10:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルータの脆弱性]]> MoxaのEDR-810シリーズのセキュアルータに脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 デバイスの情報漏洩 許可されていないユーザーが、LAN IPアドレス、モデル名、MACアドレス、サブネットマスク、ゲートウェイ設定など、デバイスの基本情報を取得する可能性があります。

ただし、イベントログやアカウント設定などの機密情報には認証が必要であり、この脆弱性の影響を受けないことをお知らせいたします。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-industrial-secure-routers-vulnerability Tue, 29 Sep 2020 10:00:00 GMT <![CDATA[脆弱性「GRUB2（BootHole）」に関するMoxaの対応]]> ブートローダー「Grand Unified Bootloaderバージョン2（GRUB2）」に脆弱性が見つかり、システムブート時に攻撃者が任意のコードを実行する可能性があります。この脆弱性は別名BootHoleとも呼ばれ、セキュアブートが使用されている場合、WindowsおよびLinuxのGRUB2ブートローダーに影響を及ぼす可能性があります。この脆弱性にはCVE ID CVE-2020-10713が割り当てられています。詳細情報はこちらでご確認ください。

Moxaはこの脆弱性について調査し、影響を受ける自社製品が現在存在しないことを確認しました。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続ける予定です。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-grub2-boothole-vulnerability Tue, 08 Sep 2020 10:00:00 GMT <![CDATA[EDR-G902シリーズおよびEDR-G903シリーズのセキュアルータの脆弱性]]> MoxaのEDR-G902シリーズおよびEDR-G903シリーズのセキュアルータ製品に脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックバッファのオーバーフロー（CWE-121）
CVE-2020-14511		 1 スタックバッファのオーバーフロー（CWE-121） CVE-2020-14511 WebブラウザCookieに細工が施され悪意のある操作が行われることにより、EDR-G902シリーズおよびEDR-G903シリーズのシステムWebサーバーでスタックバッファのオーバーフローが発生する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-g902-g903-series-secure-routers-vulnerabilities Thu, 16 Jul 2020 15:45:00 GMT <![CDATA[MGate 5105-MB-EIPシリーズのプロトコルゲートウェイの脆弱性]]> MGate 5105-MB-EIPシリーズのプロトコルゲートウェイの脆弱性

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 キャプチャリプレイによる認証回避
（CWE-294）
CVE-2020-15494、ZDI-CAN-10791 		 この脆弱性により、攻撃者はホストとデバイス間の接続のセッションIDを取得できます。
2 権限のない行為者に機密情報が漏洩される
（CEW-200）
CVE-2020-15493、ZDI-CAN-10792 		 この脆弱性により、攻撃者はデバイスの暗号化済み構成ファイルを解読できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-5105-mb-eip-series-protocol-gateways-vulnerabilities Fri, 10 Jul 2020 15:00:00 GMT <![CDATA[脆弱性「Ripple20」に関するMoxaの対応]]> Treck Inc.が開発したTCP/IPソフトウェアライブラリにおいて、一連の高リスクの脆弱性が発見されました。「Ripple20」と呼ばれるこれら19の脆弱性は悪用される可能性があり、リモートコードの実行、範囲外の読み取り/書き込み、Denial-of-Service（DoS）攻撃を実行し、機密情報を漏洩する可能性があります。詳しい情報はこちらのWebサイトに掲載されています：https://www.jsof-tech.com/ripple20/、CISAのICSアドバイザリ：ICSA-20-168-01。

Moxaはこの脆弱性について調査し、影響を受ける自社製品が存在しないことを確認しました。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続けます。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-ripple20-vulnerabilities Tue, 30 Jun 2020 10:00:00 GMT <![CDATA[VPort 461シリーズの産業用ビデオサーバーの脆弱性]]> MoxaのVPort 461シリーズの産業用ビデオサーバー製品に脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

コマンドインジェクション CVE-2020-23639

 このデバイスにはコマンドインジェクションに脆弱性があります。これによってリモートの攻撃者が任意のコマンドを実行する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/vport-461-series-industrial-video-servers-vulnerabilities Mon, 08 Jun 2020 10:00:00 GMT <![CDATA[NPort 5100Aシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort 5100Aシリーズのシリアルデバイスサーバーに脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

認証なしの情報漏えい

 この脆弱性により、攻撃者がデバイスのシリアルポート構成を適切な認証なしに獲得できるようになっています。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-5100a-series-serial-device-servers-vulnerability Wed, 29 Apr 2020 10:00:00 GMT <![CDATA[脆弱性「Kr00k」に関するMoxaの対応]]> Broadcom製およびCypress製のWi-Fiチップに、一部のWPA2暗号化トラフィックを不正に復号できる脆弱性が発見されました。詳しい情報はこちらのWebサイトに掲載されています：https://www.eset.com/int/Kr00k/

Moxaはこの脆弱性について調査し、影響を受ける自社製品が存在しないことを確認しました。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続ける予定です。この脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-response-regarding-the-kr00k-vulnerability Mon, 06 Apr 2020 10:00:00 GMT <![CDATA[セルラー管理ソフトウェアOnCell Central Managerの脆弱性]]> Moxaのセルラー管理ソフトウェアOnCell Central Managerに複数の製品脆弱性が見つかりました。これらの脆弱性は、OnCell Central Managerに組み込まれたサードパーティ製コンポーネントであるApache Flex BlazeDSのものに基づいています。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 信頼できないデータのデシリアリズ化（CWE-502）、CVE-2017-5641 サードパーティ製コンポーネント（Apache Flex BlazeDS）でのリモートコード実行
2 情報露出（CWE-200）、CVE-2015-3269 サードパーティ製コンポーネント（Apache Flex BlazeDS）でのXML外部実体（XXE）処理
]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-central-manager-cellular-management-software-vulnerabilities Mon, 16 Mar 2020 09:00:00 GMT <![CDATA[MGate MB3180/MB3280/MB3480/MB3170/MB3270シリーズのプロトコルゲートウェイの脆弱性]]> MoxaのMGate MB3180/MB3280/MB3480/MB3170/MB3270シリーズのプロトコルゲートウェイに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な認証（CWE-287） 認証されていないリモートの攻撃者が、空白のユーザー名/パスワードでのログインによって認証をバイパスし、影響を受けるシステムにおいて管理者特権で任意のアクションを実行できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-mb3180-3280-3480-3170-3270-vulnerability Tue, 03 Mar 2020 09:00:00 GMT <![CDATA[OnCell G3100-HSPAシリーズおよびOnCell G3470A-LTEシリーズのセルラーゲートウェイの脆弱性]]> MoxaのOnCell G3100-HSPAシリーズおよびOnCell G3470A-LTEシリーズのセルラーゲートウェイに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。
OnCell G3470A-LTE シリーズ

項目 脆弱性の種類 影響
1 メモリバッファ境界内の操作の不適切な制限（CWE-119）
CVE-2018-11425		 サービス拒否およびリモートコード実行


OnCell G3100-HSPA シリーズ

項目 脆弱性の種類 影響
1 制御されていないリソース消費（CWE-400）
CVE-2018-11420		 コードのリモート実行
2 メモリバッファ境界内の操作の不適切な制限（CWE-119）
CVE-2018-11423		 サービス拒否およびリモートコード実行
3 NULLポインタの逆参照（CWE-476）
CVE-2018-11424		 サービス拒否
4 不適切な認証（CWE-287）
CVE-2018-11426		 攻撃者が認証パラメータにブルートフォースを実行できます。
5 クロスサイトリクエストフォージェリ（CSRF）（CWE-352）
CVE-2018-11427		 攻撃者がWebインターフェースを通じて管理アクションに偽装できます。
6 情報露出（CWE-200）
CVE-2018-11421		 攻撃者が管理者資格情報などの機密情報を獲得できます。
7 不適切なアクセス制御（CWE-284）
CVE-2018-11422		 攻撃者が構成を改変したりファームウェアをアップロードしたりできます。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-g3100-hspa-oncell-g3470a-lte-cellular-gateway-vulnerabilities Thu, 13 Feb 2020 09:00:00 GMT <![CDATA[MGate 5105-MB-EIPシリーズのプロトコルゲートウェイの脆弱性]]> MoxaのMGate 5105-MB-EIPシリーズのプロトコルゲートウェイに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 コマンドインジェクション MGate 5105-MB-EIPシリーズのWebサーバーにはコマンドインジェクション脆弱性が存在します。これによってリモートの攻撃者が任意のコードを実行できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-5105-mb-eip-series-protocol-gateways-vulnerability Mon, 06 Jan 2020 09:00:00 GMT <![CDATA[AWK-3121シリーズの産業用AP/ブリッジ/クライアントの脆弱性]]> MoxaのAWK-3121シリーズに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 コマンド中に使用される特殊要素の不適切なハンドリング（「コマンドインジェクション」）（CWE-77）
CVE-2018-10697、CVE-2018-10699		 複数のパラメータがコマンドインジェクションを受けやすくなっています。
2 コマンド中に使用される特殊要素の不適切なハンドリング（「コマンドインジェクション」）（CWE-77）
CVE-2018-10702		 特定のパラメータがシェルのメタキャラクタを通じたコマンドインジェクションを受けやすくなっています。
3 Webページ生成時の入力の不適切なハンドリング（「クロスサイトスクリプティング」）（CWE-79）
CVE-2018-10692		 Cookieを窃取するクロスサイトスクリプト攻撃に対して脆弱となっています。
4 Webページ生成時の入力の不適切なハンドリング（「クロスサイトスクリプティング」）（CWE-79）
CVE-2018-10700		 特定のパラメータがXSSペイロードインジェクションを受けやすくなっています。
5 メモリバッファ境界内の操作の不適切な制限（CWE-119）
CVE-2018-10693、CVE-2018-10695、CVE-2018-10701、CVE-2018-10703		 複数のパラメータがバッファオーバーフローを受けやすくなっています。
6 資格情報管理（CWE-255） CVE-2018-10690 デバイスが既定でHTTPトラフィックを許可するため、Webサーバーに接続するユーザーにセキュアでない通信メカニズムが提供されています。
7 資格情報管理（CWE-255） CVE-2018-10694 デバイスの提供するWi-Fi接続が、既定では開放されており、暗号化メカニズムが利用されていません。
8 資格情報管理（CWE-255） CVE-2018-10698 デバイスが、暗号化されていないTELNETサービスを既定で有効にしています。
9 不適切なアクセス制御（CWE-284） CVE-2018-10691 systemlog.logの不正ダウンロードに対して脆弱となっています。
10 クロスサイトリクエストフォージェリ（CSRF）（CWE-352） CVE-2018-10696 WebインターフェースがCSRF攻撃に対して保護されていません。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/awk-3121-series-industrial-ap-bridge-client-vulnerabilities Mon, 02 Dec 2019 09:00:00 GMT <![CDATA[脆弱性「URGENT/11」に関するMoxaの対応]]> リアルタイムオペレーティングシステム（RTOS）VxWorksのバージョン6.5以降のTCP/IPスタック（IPnet）に、複数の脆弱性が発見されました。これらの脆弱性はリモートコード実行、サービス拒否、情報漏えい、ロジックの不備に分類されます。詳しい情報はこちらのWebサイトに掲載されています：https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/

Moxaは調査を実施しましたが、これらの脆弱性によって影響を受ける製品は見つかっていません。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続ける予定です。これらの脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-response-regarding-urgent11-vulnerability Tue, 26 Nov 2019 09:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルーターの脆弱性]]> MoxaのEDR-810シリーズのセキュアルーターに1つの製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 Web GUIで使用される特殊要素の不適切なサニタイズ 巧妙に細工されたHTTP POSTによって任意のコマンドインジェクションがトリガされる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-secure-routers-vulnerability-(1) Wed, 20 Nov 2019 09:00:00 GMT <![CDATA[EDS-G508E、EDS-G512E、EDS-G516Eシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-G508E、EDS-512E、およびEDS-516Eシリーズのイーサネットスイッチに1つの製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

PROFINET DCE-RPCのエンドポイント検出パケットによるサービス拒否（CWE-400）、CVE-2019-19707

 この脆弱性を悪用するため、攻撃者がターゲットデバイスの動作停止を引き起こす可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-g508e-g512e-g516e-series-ethernet-switches-vulnerabilities Wed, 20 Nov 2019 09:00:00 GMT <![CDATA[EDS-405Aシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-405Aシリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。
 
見つかった脆弱性の種類と潜在的な影響は以下の通りです。
項目 脆弱性の種類 影響
1 不適切なHTTP GETコマンドによるサービス（Webサービス）拒否 この脆弱性を悪用するため、攻撃者がターゲットにされたデバイスの動作停止を引き起こす可能性があります。これによって、許可されたユーザーがデバイスにアクセスできなくなる可能性があります。この脆弱性はパケットのペイロードサイズがチェックされていないことが原因で発生します。
2 過剰な長さのHTTP GETコマンドによるサービス（Webサービス）拒否 この脆弱性を悪用するため、攻撃者がターゲットにされたデバイスの動作停止を引き起こす可能性があります。これによって、許可されたユーザーがデバイスにアクセスできなくなる可能性があります。この脆弱性はパケットのペイロードサイズがチェックされていないことが原因で発生します。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-405a-series-ethernet-switches-vulnerabilities Thu, 07 Nov 2019 09:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルーターの脆弱性]]> MoxaのEDR-810シリーズのセキュアルーターに1つの製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックベースのバッファオーバーフロー（CWE-121） Webサーバーの複数の機能によって、ユーザーが任意のコードを実行できるようになっています。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-secure-routers-vulnerability Wed, 02 Oct 2019 00:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルーターの脆弱性]]> MoxaのEDR-810シリーズのセキュアルーターに2つの製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 不適切な入力確認
（CWE-20, CVE-2019-10969）		 WebコンソールにおいてAdminアカウントまたはConfigAdminアカウントで不適切な入力を行うと、ルーター上で不正コマンドを実行できます。
2 不適切なアクセス制御
（CWE-284, CVE-2019-10963）		 認証されていない攻撃者によってログ情報が取得され、機密情報が漏えいする可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-secure-router-vulnerabilities-(1) Mon, 30 Sep 2019 00:00:00 GMT <![CDATA[PT-7528およびPT-7828シリーズのイーサネットスイッチの脆弱性]]> MoxaのPT-7528およびPT-7828シリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックベースのバッファオーバーフロー（CWE-121）、CVE-2020-6989 攻撃者が任意のコードを実行したり、デバイスをターゲットにして動作を停止させたりする可能性があります。
2 破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）、CVE-2020-6987 / CNVD-2020-13511 脆弱な暗号アルゴリズムが使用されているために、秘密情報が漏えいする可能性があります。
3 破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）、CVE-2020-6987 / CNVD-2020-13511 暗号機能の実装が不適切であるために、秘密情報が漏えいする可能性があります。
4 ハードコードされた暗号鍵の使用（CWE-321）、CVE-2020-6983 / CNVD-2020-13512 ハードコードされた暗号鍵が使用されているため、秘密データが復元される可能性が高まっています。
5 ハードコードされたパスワードの使用（CWE-798）、CVE-2020-6895 / CNVD-2020-13513 悪意のあるユーザーが適切な認証なしにシステムへのアクセス権を獲得する可能性があります。
6 脆弱なパスワード要件（CWE-521）、CVE-2020-6996 / CNVD-2020-13514 悪意のあるユーザーがブルートフォースを使用して資格情報の取得を試みる可能性があります。
7 情報露出（CWE-200）、CVE-2020-6993 / CNVD-2020-13507 悪意のあるユーザーがゼロデイ攻撃を実行して機密情報を窃取できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/pt-7528-7828-ethernet-switches-vulnerabilities Wed, 25 Sep 2019 00:00:00 GMT <![CDATA[ioLogik 2542-HSPAシリーズのコントローラ、I/O、およびIOxpress Configuration Utilityの脆弱性]]> MoxaのioLogik 2542-HSPAシリーズのコントローラ、I/O、およびIOxpress Configuration Utilityに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 脆弱な暗号アルゴリズムの使用（CWE-310）、CVE-2018-18238 構成ファイルが暗号化されていなかったため、攻撃者がそのファイルを入手した場合、デバイス内の機密情報が漏えいする可能性があります。
2 機密情報の平文での保存および送信（CWE-312およびCWE-319）、CVE-2020-7003 構成ファイルが暗号化されていなかったため、攻撃者がそのファイルを入手した場合、デバイス内の機密情報が漏えいする可能性があります。
3 サービス拒否攻撃（CWE-400、CWE-941）、CVE-2019-18242 短時間のうちに頻繁かつ多数のリクエストがあった場合、Webサーバーの機能が停止する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/iologik-2542-hspa-series-ioxpress-vulnerabilities Wed, 25 Sep 2019 00:00:00 GMT <![CDATA[MB3170/MB3180/MB3270/MB3280/MB3480/MB3660シリーズのプロトコルゲートウェイの脆弱性]]> MoxaのMB3170/MB3180/MB3270/MB3280/MB3480/MB3660シリーズのプロトコルゲートウェイに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 スタックベースのバッファオーバーフロー（CWE-121）、CVE-2019-9099 別々の2件の問題が影響して、組み込みのWebサーバーのバッファオーバーフローが発生します。これによりリモートの攻撃者がDoS攻撃を開始して、任意のコードを実行できるようになっています。
2 整数のオーバーフローが引き起こすバッファオーバーフロー（CWE-680）、CVE-2019-9098 整数のオーバーフローによって予期しないメモリ割り当てが発生し、バッファオーバーフローにつながる可能性があります。
3 トークンの利用によるCSRF保護メカニズムのバイパス（CWE-352）、CVE-2019-9102 トークン生成メカニズムが予測可能であるため、リモートの攻撃者がクロスサイトリクエストフォージェリ（CSRF）保護メカニズムをバイパスできます。
4 破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）、CVE-2019-9095 予測可能な変数を用いた脆弱な暗号アルゴリズムの使用により、機密情報が漏えいする可能性があります。
5 情報露出（CWE-200）、CVE-2019-9103 攻撃者が組み込みのWebサービスを通じて、適切な許可なしに機密情報とユーザー名にアクセスできます。
6 ユーザーの資格情報の平文送信（CWE-310）、CVE-2019-9101 一部のWebアプリケーションで機密情報が平文送信されます。
7 脆弱なパスワード要件（CWE-521）、CVE-2019-9096 パスワード要件が脆弱であるために、攻撃者がブルートフォースを使用してアクセス権を獲得できる可能性があります。
8 機密情報の平文保存（CWE-312）、CVE-2019-9104 機密情報が構成ファイル内に平文保存されるため、攻撃者による管理アカウントの使用が可能になっています。
9 サービス拒否攻撃（CWE-400、CWE-941）、CVE-2019-9097 攻撃者がシステムに過度の負荷を与えたり、サービスをクラッシュさせたりすることで、Webサービスが一時的に利用不能になります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mb3710-3180-3270-3280-3480-3660-vulnerabilities Wed, 25 Sep 2019 00:00:00 GMT <![CDATA[EDS-G516EおよびEDS-510Eシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-G516EおよびEDS-510Eシリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

スタックベースのバッファオーバーフロー（CWE-121）、CVE-2020-7007
  1. 攻撃者が任意のコードを実行したり、デバイスをターゲットにして動作を停止させたりする可能性があります。
  2. 攻撃者がターゲットデバイスの動作を停止させたり、任意のコードを実行させたりできる可能性があります。脆弱性が発見された箇所は、Web設定ページのIEEE802.1x設定ページです。
2 破られている、またはリスクのある暗号アルゴリズムの使用（CWE-327）、CVE-2020-7001
  1. 脆弱な暗号アルゴリズムが使用されているために、秘密情報が漏えいする可能性があります。
  2. 暗号機能の実装が不適切であるために、秘密情報が漏えいする可能性があります。
3 ハードコードされた暗号鍵の使用（CWE-321）、CVE-2020-6979 ハードコードされた暗号鍵が使用されているため、秘密データが復元される可能性が高まっている恐れがあります。
4 ハードコードされたパスワードの使用（CWE-798）、CVE-2020-6981 悪意のあるユーザーが適切な認証なしにシステムへのアクセス権を獲得する可能性があります。
5 入力サイズのチェックなしのバッファコピー（CWE-120）、CVE-2020-6989
  1. この脆弱性を悪用するため、攻撃者がターゲットデバイスの動作停止を引き起こす可能性があります。syslog設定ページの一部のパラメータで、テキストの長さが過剰でないことの確認が行われていません。
  2. この脆弱性を悪用するため、攻撃者がターゲットデバイスの動作停止を引き起こす可能性があります。DHCP設定ページの一部のパラメータで、テキストの長さが過剰でないことの確認が行われていません。
  3. この脆弱性を悪用するため、攻撃者がターゲットデバイスの動作停止を引き起こす可能性があります。PTP設定ページの一部のパラメータで、テキストの長さが過剰でないことの確認が行われていません。
6 ユーザーの資格情報の平文送信（CWE-319）、CVE-2020-6997 この脆弱性を悪用するため、攻撃者が平文通信の情報を傍受する可能性があります。
7 脆弱なパスワード要件（CWE-521）、CVE-2020-6991 悪意のあるユーザーがブルートフォースを使用して資格情報の取得を試みる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-g516e-510e-ethernet-switches-vulnerabilities Wed, 25 Sep 2019 00:00:00 GMT <![CDATA[NPort IA5450Aシリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort IA5450Aシリーズのシリアルデバイスサーバーに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 情報漏えい 攻撃者がイーサネットフレームのパディング処理の不備を悪用できる可能性があり、それによって情報が露出する恐れがあります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-ia5450a-series-serial-device-servers-vulnerability Mon, 12 Aug 2019 18:30:00 GMT <![CDATA[NPort 5600シリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort 5600シリーズのシリアルデバイスサーバーに2つの製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証バイパス 攻撃者が認証をバイパスし、デバイス機能へのアクセス権を獲得できます。
2 不十分な確認 攻撃者がデバイスへのアクセス権を獲得した後、不正ファームウェアをアップロードできます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-5600-series-serial-device-servers-vulnerabilities Mon, 12 Aug 2019 18:30:00 GMT <![CDATA[EDS-405Aシリーズ、EDS-408Aシリーズ、EDS-510Aシリーズ、IKS-G6824Aシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-405Aシリーズ、EDS-408Aシリーズ、EDS-510Aシリーズ、IKS-G6824Aシリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

EDS-405A シリーズ、EDS-408A シリーズ、EDS-510A シリーズ

項目 脆弱性の種類 影響
1

パスワードの平文での保存

（CVE-2019-6518）

 MoxaのEDS産業用スイッチはパスワードを平文で保存します。このパスワードはプロプライエタリなプロトコルにおける未加工の構成の読み出し機能によって露出する可能性があります。
2

予測可能なセッションID

（CVE-2019-6563）

 MoxaのEDS産業用スイッチのWebサーバーにおけるCookie値が、適切な暗号化を用いて生成されていないために、攻撃者がそれを再利用して管理者のパスワードを復元できます。
注意：EDS-510Aのユーザーは、パッチを適用したファームウェアをアップグレードする必要はありません。緩和のためには「対策」セクションを参照してください。
3

機密データの暗号化の欠如

（CVE-2019-6526）

 MoxaのEDS産業用スイッチが使用するプロプライエタリな管理用プロトコルが悪用され、管理用パスワードが漏えいする可能性があります。
4

過度の認証試行に対する不適切な制限

（CVE-2019-6524）

 MoxaのEDS産業用スイッチは、多数の不成功の認証試行に対する十分な防止措置が実装されておらず、ブルートフォース攻撃の影響を受けやすくなっています。
5

リソース枯渇

（CVE-2019-6559）

MoxaのEDS産業用スイッチはプロプライエタリなプロトコルを使用しています。リモートアクセス権を持つ認証されたユーザーは、このプロトコルを利用し、巧妙に細工されたパケットを通じてサービス拒否を引き起こすことができます。

 

IKS-G6824A シリーズ

項目 脆弱性の種類 影響
1

アカウント設定パラメータ内のバッファオーバーフロー

（CVE-2019-6557）

 Cookie値の長さの計算が不適切であるため、スタックオーバーフローが引き起こされます。これを利用して、攻撃者はデバイスの再起動を発生させたり、コードを実行したりすることができます。
2

複数のパラメータ内のバッファオーバーフロー

（CVE-2019-6557）

 特定パラメータの制御されていないコンテンツのコピーによって複数のバッファオーバーフロー脆弱性が発生し、コードのリモート実行を許したり、デバイスの再起動が引き起こされたりする可能性があります。
3

デバイスメモリの読み出し

（CVE-2019-6522）

 配列の境界チェックが適切に行われていないため、攻撃者が任意のアドレスのデバイスメモリを読み出せるようになっています。
4

破損したOSPFパケットの処理失敗

（CVE-2019-6559）

 不正な形式のOSPF Helloパケットが脆弱なデバイスに送信されることで、そのデバイスが2、3分後に再起動されます。
5

複数のXSS

（CVE-2019-6565）

ユーザー入力の確認が不適切であるため、認証されていない攻撃者および認証された攻撃者がユーザーに対してXSS攻撃を実行できるようになっています。
6

Webインターフェースの不適切なアクセス制御

（CVE-2019-6520）

このスイッチには管理用のWebインターフェースが用意されていますが、権限がサーバー側で適切にチェックされていないため、読み取り専用ユーザーが構成を変更できるようになっています。
7

クロスサイトリクエストフォージェリ

（CVE-2019-6561）

 攻撃者がユーザーによる認証の済んだWebブラウザを利用してWebアプリケーションを狙う場合に、クロスサイトリクエストフォージェリ（CSRF）が発生します。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-405a-series-eds-408a-series-eds-510a-series-and-iks-g6824a-series-ethernet-switches-vulnerabilities Fri, 01 Feb 2019 00:00:00 GMT <![CDATA[シリアルデバイスサーバーNPort W2150A/NPort W2250Aの脆弱性]]> MoxaのシリアルデバイスサーバーNPort W2150AおよびNPort W2250Aに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証されたOSコマンドインジェクション（CVE-2018-19659） WebサーバーのPing機能を利用して、管理者特権を持つユーザーがLinuxオペレーティングシステムのユーザーアクセス制御を回避できる可能性があります。
2 認証されたOSコマンドインジェクション（CVE-2018-19660） WebサーバーのWLANプロファイルプロパティ機能を利用して、管理者特権を持つユーザーがLinuxオペレーティングシステムのユーザーアクセス制御を回避できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-w2150a-nport-w2250a-serial-device-servers-vulnerabilities Thu, 13 Dec 2018 00:00:00 GMT <![CDATA[Libsshの認証バイパス脆弱性に関するMoxaの対応]]> バージョン0.7.6、0.8.4、およびそれ以前のlibsshのサーバー側ステートマシンに脆弱性が発見されました。この脆弱性（CVE-2018-10933）の原因は不適切な認証操作にあります。これによって、リモートの攻撃者はターゲットとなるシステムの認証をバイパスできます。

Moxaは調査を実施しましたが、これらの脆弱性によって影響を受ける製品は見つかっていません。

Moxaのサイバーセキュリティ対策チーム（CSRT）は今後も状況の監視を続ける予定です。これらの脆弱性の状況に更新があり、Moxaの製品に影響が及ぶ可能性がある場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-libssh-authentication-bypass-vulnerability Tue, 27 Nov 2018 00:00:00 GMT <![CDATA[ThingsPro 2シリーズのシステムソフトウェアの脆弱性]]> MoxaのThingsPro 2シリーズのシステムソフトウェアに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリーズしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 ユーザー列挙 リモートの攻撃者がWebアプリケーション内の有効なユーザーを発見できます。またブルートフォースを使用することで、この脆弱性を悪用し、対応するパスワードを発見できます。
2 ユーザー特権のエスカレーション この脆弱性を利用することで、リモートの攻撃者はより多くの特権を獲得できます。
3 アクセス制御の不備 この脆弱性を利用することで、リモートの攻撃者はより多くの特権を獲得できます。
4 サーバーがパスワード変更時に古いパスワードを要求しない リモートの攻撃者が容易にパスワードを変更できてしまいます。
5 機密情報の平文保存 リモートの攻撃者が権限トークンを推測できます。
6 隠しトークンに特権のエスカレーションが存在 リモートの攻撃者が隠しトークンAPIへのアクセスを通じてroot特権を獲得し、コマンドを実行できる可能性があります。
7 コードのリモート実行 リモートの攻撃者がこれを利用して文字列を注入し、サーバーに追加のコマンドの実行を強制できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/thingspro-2-series-system-software-vulnerabilities Wed, 17 Oct 2018 00:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルーターの脆弱性]]> MoxaのEDR-810シリーズのセキュアルーターに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリーズしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 Webサーバー機能におけるコマンドインジェクション脆弱性 アプリケーションがリモートの攻撃者に、/xml/net_WebCADELETEGetValue URIに対するCA名パラメータを通じて、root特権で任意のOSコマンドを実行することを許します。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-secure-router-vulnerability Fri, 21 Sep 2018 00:00:00 GMT <![CDATA[Intelマネジメントエンジンの脆弱性に関するMoxaの対応]]> ネットワークへのアクセス権を持つべきではない攻撃者がIntelの管理用SKUをプロビジョニングするシステム特権を獲得し、続いてローカルの攻撃者が管理用機能をプロビジョニングしてIntelの管理用SKUでネットワークまたはローカルシステムの特権を獲得できる可能性のある脆弱性が、2017年5月に研究者らによって発表されました。

  • CVE-2017-5689

Intelマネジメントエンジンに関する複数の脆弱性が、2017年下半期に研究者らによって見つけられました。

  • CVE-2017-5705
  • CVE-2017-5708
  • CVE-2017-5711
  • CVE-2017-5712

これらの脆弱性を受け、Intelはあらゆるプラットフォームに対応するマネジメントエンジンのファームウェアパッチをリリースしました。Moxaは影響を受ける自社製品を特定し、ファームウェアのアップグレードを発行しました。リストに挙げられていない製品は、上記の脆弱性による影響を受けません。影響を受ける製品を購入されたお客様には、Moxaのグローバルカスタマーサービスを通じた支援を受け、最新のBIOSへの更新を実行されることを推奨します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-intel-management-engine-vulnerability Thu, 09 Aug 2018 00:00:00 GMT <![CDATA[NPort 5200シリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort 5200シリーズのシリアルデバイスサーバーに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 制御されていないリソース消費 悪意のあるアクターによって要求されるリソースの量が制限されていないため、サービス拒否状態が引き起こされます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-5200-series-serial-device-server-vulnerability Tue, 07 Aug 2018 00:00:00 GMT <![CDATA[EDS-G508Eシリーズ、EDS-G512Eシリーズ、EDS-G516Eシリーズのイーサネットスイッチの脆弱性]]> MoxaのEDS-G508Eシリーズ、EDS-G512Eシリーズ、EDS-G516Eシリーズのイーサネットスイッチに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 サービス拒否 攻撃者がセッションIDをリモートで操作して、Moxaのスイッチのネットワーク通信を妨害できる可能性があります。
2 Cookie管理 Cookieが再利用に対してセキュリティ保護されていません。
3 クロスサイトスクリプト攻撃 攻撃者がこれらの不備を利用して、悪意のあるコードをユーザーのブラウザまたはスイッチに挿入できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/eds-g508e-series-eds-g512e-series-and-eds-g516e-series-ethernet-switch-vulnerabilities Thu, 31 May 2018 00:00:00 GMT <![CDATA[EDR-810シリーズのセキュアルーターの脆弱性]]> MoxaのEDR-810シリーズのセキュアルーターに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 WebサーバーにおけるPingコマンドインジェクション（TALOS-2017-0472） 巧妙に細工されたHTTP POSTによって特権のエスカレーションが引き起こされ、rootシェルが利用される可能性があります。攻撃者はOSコマンドを注入することで、この脆弱性を利用できます。
2 Web RSA鍵生成コマンドインジェクション（TALOS-2017-0473） 巧妙に細工されたHTTP POSTによって特権のエスカレーションが引き起こされ、rootシェルが利用される可能性があります。攻撃者はOSコマンドを注入することで、この脆弱性を利用できます。
3 Webサーバーのstrcmpに起因する複数のサービス拒否（TALOS-2017-0474） 巧妙に細工されたHTTP URIによってNULLポインタの逆参照が発生し、サービス拒否が引き起こされる可能性があります。攻撃者は特定のリクエストを送信することで、この脆弱性を利用できます。
4 パスワードの平文送信（TALOS-2017-0475） 攻撃者はネットワークトラフィックを監視することで、デバイスの管理者パスワードを取得できます。続いて攻撃者はその資格情報を利用して、管理者としてログインすることが可能です。
5 WebサーバーのURIに起因する複数のサービス拒否（TALOS-2017-0476） 攻撃者は細工されたURIを送信することで、この脆弱性を利用できます。
6 Webサーバーにおける証明書署名要求コマンドインジェクション（TALOS-2017-0477） 巧妙に細工されたHTTP POSTによって特権のエスカレーションが引き起こされ、rootシェルが利用される可能性があります。攻撃者はOSコマンドを注入することで、この脆弱性を利用できます。
7 Webサーバーにおけるクロスサイトリクエストフォージェリ（TALOS-2017-0478） 巧妙に細工されたHTTPパケットによって、クロスサイトリクエストフォージェリが引き起こされる可能性があります。攻撃者は悪意のあるHTMLを作成することで、この脆弱性を利用できます。
8 パスワードの平文保存（TALOS-2017-0479） シェルへのアクセス権を持つ攻撃者が、デバイスから平文のパスワードを抽出できる可能性があります。
9 サーバーエージェントにおける情報漏えい（TALOS-2017-0480） 巧妙に細工されたTCPパケットによって、情報漏えいが引き起こされる可能性があります。攻撃者は細工されたTCPパケットを送信することで、この脆弱性を利用できます。
10 Webサーバーにおけるパスワードの脆弱な暗号化（TALOS-2017-0481） 攻撃者は脆弱な暗号化を施されたパスワードを傍受し、ブルートフォース攻撃を利用してそれを破れる可能性があります。
11 WebサーバーのOpenVPN設定における複数のコマンドインジェクション（TALOS-2017-0482） 巧妙に細工されたHTTP POSTによって特権のエスカレーションが引き起こされ、rootシェルが利用される可能性があります。攻撃者はOSコマンドを注入することで、この脆弱性を利用できます。
12 サービスエージェントにおける複数のサービス拒否（TALOS-2017-0487） 巧妙に細工されたパケットによって、サービス拒否が引き起こされる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/edr-810-series-secure-router-vulnerabilities Tue, 22 May 2018 00:00:00 GMT <![CDATA[AWK-3131Aシリーズの無線AP/ブリッジ/クライアントの脆弱性]]> MoxaのAWK-3131Aシリーズの無線AP/ブリッジ/クライアントに製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 OSコマンドで使用される特殊要素の不適切な取り扱い（OSコマンドインジェクション） 攻撃者が不正コマンドを実行し、それを利用してソフトウェアを無効化したり、攻撃者がアクセス権を持つべきではないデータの読み込みや改変を行える可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/awk-3131a-series-wireless-ap-bridge-client-vulnerability Mon, 16 Apr 2018 00:00:00 GMT <![CDATA[OnCell G3100-HSPAシリーズのセルラーゲートウェイ/ルーターの脆弱性]]> MoxaのOnCell G3100-HSPAシリーズのセルラーゲートウェイ/ルーターに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

検証および整合性チェックなしのCookieの信頼

 アプリケーションが数字のみからなるCookieパラメータを許容するため、攻撃者がブルートフォース攻撃を実行して認証をバイパスし、デバイス機能へのアクセスを獲得できるようになっています。
2

長さパラメータの不整合の不適切な処理

 攻撃者がHTTPリクエストの要素を編集し、デバイスを利用不能にできる可能性があります。
3

NULLポインタの逆参照

 アプリケーションがNULL値をチェックしないため、攻撃者がサービス拒否攻撃を実行できるようになっています。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-g3100-hspa-series-cellular-gateway-router-vulnerabilities Tue, 13 Mar 2018 00:00:00 GMT <![CDATA[MXviewシリーズのネットワーク管理ソフトウェアの脆弱性]]> MoxaのMXviewシリーズのネットワーク管理ソフトウェアに製品脆弱性が見つかりました。これを受け、Moxaはその脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1

引用符で囲まれていない検索パスまたは要素

 引用符で囲まれていないサービスパスのエスカレーション脆弱性により、ファイルアクセス権を持つ許可されたユーザーが、引用符で囲まれていないサービスパスに任意のコードを挿入することで、特権へ昇格できる可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mxview-series-network-management-software-vulnerability Tue, 13 Mar 2018 00:00:00 GMT <![CDATA[サイドチャネル攻撃に対するCPUハードウェアの脆弱性（MeltdownおよびSpectre）に関するMoxaの対応]]> マイクロプロセッサアーキテクチャ上の命令の投機的実行を行う実装を不正動作させ、サイドチャネル情報漏えい攻撃を実行できる脆弱性が、研究者らによって2018年1月に発表されました。

CVE-2017-5753（Spectre）
CVE-2017-5715（Spectre）
CVE-2017-5754（Meltdown）

これらの脆弱性により、攻撃者はマイクロプロセッサ上、またはオペレーティングシステムのカーネルに割り当てられたメモリ上の情報を読み出せるようになる可能性があります。

これらの脆弱性を利用するには、攻撃者は悪意のあるカスタムコードをデバイス上で実行できる必要があります。Moxaの大多数の製品は、デバイスでのカスタムコード実行を許可しないクローズドシステム上で動作しているため、脆弱ではありません。

ターゲットになり得るマイクロプロセッサを含んだコンピュータプラットフォームを利用するMoxaの製品は、これらの脆弱性から直接の影響を受けることはなくとも、脆弱である可能性はあると考えられます。マイクロプロセッサとオペレーティングシステムのベンダーは、これらの脆弱性の緩和に役立つ更新をリリースしています。Moxaもベンダーの提案に基づき、これらの製品を対象とした更新をリリースする予定です。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-cpu-hardware-vulnerability-to-side-channel-attacks-meltdown-spectre Tue, 16 Jan 2018 00:00:00 GMT <![CDATA[鍵再インストール攻撃（KRACKs）の脆弱性に関するMoxaの対応]]> 2017年10月に、WPA2（Wi-Fi protected Access II）のセキュリティ脆弱性が公開されました。これらの脆弱性の利用によって、ユーザーはWPA2を利用するWi-Fiトラフィックの盗聴が可能になります。Wi-Fiネットワークの無線範囲内にいる攻撃者は鍵再インストール攻撃（KRACKs）の使用によって、これらの脆弱性を悪用できます。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。当社のチームはすべての製品チームと協力し、どのモデルが影響を受けるのかを確認してきました。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-key-reinstallation-attacks-kracks-vulnerability Fri, 27 Oct 2017 00:00:00 GMT <![CDATA[AWK-3131Aシリーズの無線AP/ブリッジ/クライアントの脆弱性]]> MoxaのAWK-3131Aシリーズの無線AP/ブリッジ/クライアントに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 WebアプリケーションNonce再利用の脆弱性（CWE-613）
TALOS-2016-0225、CVE-2016-8712		 攻撃者がセッショントークンを再利用してログインできます。
2 パスワードの脆弱性によるWebアプリケーションでの平文送信（CWE-640）
TALOS-2016-0230、CVE-2016-8716		 許可されたアクセス権を持たないユーザーが、Webコンソールを介したパスワード送信トラフィックを傍受し、有効な認証情報を取得できます。
3 ハードコードされた管理者の資格情報脆弱性（CWE-798）
TALOS-2016-0231、CVE-2016-8717		 権限のある管理者がバックドアアカウントを変更または削除できなくなり、攻撃者が影響を受けるデバイスを制御できます。
4 Webアプリケーションにおけるクロスサイトリクエストフォージェリの脆弱性（CWE-352）
TALOS-2016-0232、CVE-2016-8718		 認証された管理者またはユーザーがWebコンソールによって任意のコマンドを実行できます。
5 Webアプリケーションにおける複数の影響を受けるクロスサイトスクリプティングの脆弱性（CWE-79）
TALOS-2016-0233、CVE-2016-8719		 認証された管理者またはユーザーがWebブラウザで悪意のあるスクリプトを実行できます。
6 WebアプリケーションのHTTPヘッダーインジェクションの脆弱性（CWE-74）
TALOS-2016-0234、CVE-2016-8720		 認証された管理者またはユーザーがペイロードを特定のパラメータに挿入でき、このパラメータがHTTPレスポンスのLocationヘッダーにコピーされる可能性があります。
7 WebアプリケーションにおけるPingコマンドインジェクションの脆弱性（CWE-78）
TALOS-2016-0235、CVE-2016-8721		 認証された管理者またはユーザーがWebコンソールによって任意のコマンドを実行できます。
8 Webアプリケーションの情報開示の脆弱性（CWE-200）
TALOS-2016-0236、CVE-2016-8722		 権限のないユーザーが特定のURLを介して機密情報を取得できます
9 Webアプリケーションのサービス拒否の脆弱性（CWE-476）
TALOS-2016-0237、CVE-2016-8723		 予期しないHTTPリクエストがデバイスのWebサーバーをクラッシュさせる可能性があります。
10 機密情報漏洩の脆弱性（CWE-200）
TALOS-2016-0238、CVE-2016-8724		 無料で入手できるWindowsアプリケーションを介して、またはカスタマイズされたスクリプトを使用して、機密性の高い情報にアクセスできます。
11 Webアプリケーションの情報漏洩の脆弱性（CWE-200）
TALOS-2016-0239、CVE-2016-8725		 権限のないユーザーが特定のURLを介して機密情報を取得できます。
12 Webアプリケーションのサービス拒否の脆弱性（CWE-476）
TALOS-2016-0240、CVE-2016-8726		 予期しないHTTPリクエストがデバイスのWebサーバーをクラッシュさせる可能性があります。
13 Webアプリケーションの情報漏洩の脆弱性（CWE-200）
TALOS-2016-0241、CVE-2016-8727		 権限のないユーザーが特定のURLを介して機密情報を取得できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxa-awk-3131a-wireless-ap-bridge-client-security-vulnerabilities Mon, 10 Apr 2017 10:00:00 GMT <![CDATA[OnCell G3470A-LTEシリーズのセルラーゲートウェイの脆弱性]]> MoxaのOnCell G3470A-LTEシリーズのセルラーゲートウェイに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 許可のバイパス 不正ユーザーが特定のURLにアクセスすることで、ログファイルやSNMP MIBファイルをダウンロードできる可能性があります。
2 OSコマンドの露出 認証された管理者またはユーザーがWebコンソールによって任意のコードを実行できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/oncell-g3470a-lte-series-cellular-gateway-vulnerabilities Fri, 14 Oct 2016 00:00:00 GMT <![CDATA[AWKシリーズ、TAPシリーズ、WACシリーズの無線AP/ブリッジ/クライアントの脆弱性]]> MoxaのAWKシリーズ、TAPシリーズ、WACシリーズの無線AP/ブリッジ/クライアントに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 許可のバイパス 不正ユーザーが特定のURLにアクセスすることで、ログファイルやSNMP MIBファイルをダウンロードできる可能性があります。
2 OSコマンドの露出 認証された管理者またはユーザーがWebコンソールによって任意のコードを実行できます。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/awk-series-tap-series-and-wac-series-wireless-ap-bridge-client-vulnerabilities Fri, 14 Oct 2016 00:00:00 GMT <![CDATA[ioLogik E1200シリーズとioLogik E2200シリーズのコントローラおよびI/Oの脆弱性]]> MoxaのioLogik E1200シリーズとioLogik E2200シリーズのコントローラおよびI/Oに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 複数の格納型クロスサイトスクリプティング（XSS） 認証されたユーザーがWebコンソールから任意のコードを実行できます。
2 HTTPのGETメソッドを通じたパスワード送信 HTTP Webコンソールで、HTTPのGETリクエストの際にパスワードが暗号化されていません。
3 パスワードの切り捨て ブルートフォース攻撃ツールの使用により、単純なパスワード（password、12345678、abcd1234など）を推測できます。
4 CSRF保護の欠如 攻撃者が正当なユーザーにリンクをクリックさせることで、リクエストを送信する可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/iologik-e1200-series-and-iologik-e2200-series-controllers-and-io-vulnerabilities Fri, 19 Aug 2016 00:00:00 GMT <![CDATA[MiiNePort E1/E2/E3シリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのE1/E2/E3シリーズのシリアルデバイスサーバーに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 機密情報の平文保存 機密情報の漏えい
2 クロスサイトリクエストフォージェリ HTTPリクエストが検証されていないため、攻撃者がユーザーをだまして意図しないリクエストを行わせる可能性があります。
3 資格情報の脆弱な管理 管理のための認証のバイパス

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/miineport-e1-e2-e3-series-serial-device-server-vulnerabilities Fri, 01 Jul 2016 00:00:00 GMT <![CDATA[MGate MB3000シリーズ、MGate 5100シリーズ、およびMGate W5000シリーズのプロトコルゲートウェイの脆弱性]]> MoxaのMGate MB3000シリーズ、MGate 5100シリーズ、およびMGate W5000シリーズのプロトコルゲートウェイに製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 認証のバイパス（CWE-287）、CVE-2016-5804 攻撃者はブルートフォースを使用してCookieから静的コールIDを見つけ、認証をバイパスする可能性があります。
]]> https://www.moxa.com/jp/support/product-support/security-advisory/mgate-mb3000-5100-series-w5000-protocol-gateway-vulnerabilities Wed, 01 Jun 2016 10:00:00 GMT <![CDATA[NPort 5000シリーズおよびNPort 6000シリーズのシリアルデバイスサーバーの脆弱性]]> MoxaのNPort 5000シリーズおよびNPort 6000シリーズのシリアルデバイスサーバーに複数の製品脆弱性が見つかりました。これを受け、Moxaはそれらの脆弱性に対処するための関連対策をリリースしました。

見つかった脆弱性の種類と潜在的な影響は以下の通りです。

項目 脆弱性の種類 影響
1 機密性の高いアカウント情報の認証なしの取得 パスワードが有効化されていることを確認してください。
2 ファームウェアの認証なしのリモート更新 パスワードが有効化されていることを確認してください。
3 バッファオーバーフロー デバイスに対するアクセス制御を設定し、この脆弱性の利用者による不正アクセスを防止してください。
4 クロスサイトスクリプティング デバイスに対するアクセス制御を設定し、この脆弱性の利用者による不正アクセスを防止してください。
5 クロスサイトリクエストフォージェリ デバイスに対するアクセス制御を設定し、この脆弱性の利用者による不正アクセスを防止してください。

 

]]> https://www.moxa.com/jp/support/product-support/security-advisory/nport-5000-series-and-nport-6000-series-serial-device-server-vulnerabilities Fri, 15 Apr 2016 00:00:00 GMT <![CDATA[SSLv2の脆弱性（DROWN、CVE-2016-0800）に関するMoxaの対応]]> Moxaは、いくつかの製品がSSLv2の脆弱性（CVE-2016-0800）の影響を受けることを確認しました。この脆弱性はDROWNとも呼ばれます。これの影響を受けたシステムからは、パスワードや暗号鍵を含むデータが読み出される可能性があります。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-sslv2-vulnerabilities-drown Thu, 31 Mar 2016 10:00:00 GMT <![CDATA[GNU GlibcのGethostbyname関数のバッファオーバーフロー脆弱性（GHOST、CVE-2015-0235）に関するMoxaの対応]]> ICS-CERTによると、「glibc」ライブラリの「GHOST」脆弱性（CVE-2015-0235）によって産業用システムが影響を受ける可能性があります。認証されたローカル管理者は、この脆弱性を悪用することで、ターゲットとなるシステムのサービス拒否（DoS）を引き起こす可能性があります。

ICS-CERTはこのリスクおよびその他のサイバーセキュリティリスクからの保護のために、以下の3つの防御的措置を推奨しています。

  • 制御システムのあらゆるデバイス/システムのネットワーク露出を最小化し、インターネットからアクセスできないようにする。
  • 制御システムのネットワークとリモートデバイスをファイアウォールの内側に置き、業務ネットワークから分離する。
  • リモートアクセスが要求される場合は、バーチャルプライベートネットワーク（VPN）などのセキュアな手法を利用する。その際はVPNにも脆弱性があるかもしれず、提供されている最新バージョンに更新すべきであることを認識する。さらに、VPNのセキュリティは使用するコネクテッドデバイスのセキュリティに依存していることも認識する。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-gnu-glibc-gethostbyname-function-buffer-overflow-vulnerability-ghost-cve-2015-0235 Tue, 05 May 2015 00:00:00 GMT <![CDATA[GNU Bourne-Again Shell（Bash）の脆弱性（Shellshock）に関するMoxaの対応]]> Moxaは一部の自社製品がGNU Bourne-Again Shell（Bash）の脆弱性（CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277、CVE 2014-6278）によって影響を受けることを確認しました。この脆弱性はShellshockとも呼ばれます。これにより、攻撃者はオペレーティングシステムで使用される環境変数に悪意のあるコードを付加することで、シェルコマンドをリモート実行できる可能性があります。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-gnu-bourne-again-shell-bash-vulnerability-shellshock Tue, 07 Oct 2014 00:00:00 GMT <![CDATA[Open SSLの脆弱性（Heartbleed、CVE-2014-0160）に関するMoxaの対応]]> MoxaはOpen SSLの脆弱性CVE-2014-0160の影響を受ける自社製品が存在しないことを確認しました。この脆弱性はHeartbleedとも呼ばれます。これの影響を受けたシステムからは、パスワードや暗号鍵を含むデータが読み出される可能性があります。

Moxaのサイバーセキュリティ対策チーム（CSRT）はこの問題に全力で取り組み、適切な措置を講じています。この脆弱性の状況やMoxa製品への影響に何らかの更新があった場合は、最新情報を速やかにご提供します。

]]> https://www.moxa.com/jp/support/product-support/security-advisory/moxas-response-regarding-the-open-ssl-vulnerability-heartbleed-cve-2014-0160 Wed, 16 Apr 2014 00:00:00 GMT