此安全公告旨在修補工業電腦中發現的兩個安全漏洞。
CVE-2026-0714
在執行 Moxa Industrial Linux 3 且使用以 TPM 為基礎之 LUKS 全磁碟加密的特定 Moxa 工業電腦中，存在物理攻擊弱點。此類設備的離散式 TPM 是透過 SPI 匯流排與 CPU 連接。攻擊者需透過侵入式實體存取來發動攻擊，包括拆解設備並將外部器材連接至 SPI 匯流排，以擷取 TPM 通訊內容。若攻擊成功，所擷取的資料可能允許 eMMC 內容進行離線解密。此攻擊無法透過短暫或偶然的實體存取來完成，而需長時間的實體接觸、持有該設備、適當的器材，以及充足的時間來擷取並分析信號。此弱點無法進行遠端攻擊。
CVE-2026-0715
執行 Moxa Industrial Linux Secure 的 Moxa Arm 架構工業電腦，使用設備隨附的唯一 bootloader 密碼，具備實體存取設備的攻擊者可利用此資訊，透過串列介面進入 bootloader 選單。進入 bootloader 選單並不代表全面接管系統或提升權限。bootloader 會強制執行數位簽章驗證，僅允許燒錄經 Moxa 簽章的映像檔。因此，攻擊者無法安裝惡意韌體或執行任意程式碼。其主要影響僅限於：若重新燒錄有效的映像檔，可能會導致潛在的暫時性服務阻斷（DoS）。此弱點無法進行遠端攻擊。
有鑑於這些問題的嚴重性，建議使用者應立即執行解決方案，以降低資安風險。
已確認的安全漏洞類型和潛在影響
| CVE ID |
安全漏洞類型 |
影響 |
|
CVE-2026-0714
|
CWE-319：明文傳輸機密資訊
|
CAPEC-401: 實體入侵硬體
|
|
CVE-2026-0715
|
CWE-522：憑證保護不足
|
CAPEC-102: 連線劫持
|
安全漏洞評分詳情
|
CVE ID
|
評分
|
向量
|
嚴重性 |
未經身分驗證的遠端攻擊
|
| CVE-2026-0714 |
CVSS 4.0: 7.0
|
AV:P/AC:L/AT:N/PR:N/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
|
高 |
否 |
| CVE-2026-0715 |
CVSS 4.0: 7.0
|
AV:P/AC:L/AT:N/PR:N/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
|
高 |
否 |