Avis du CERT-FR

Json

Objet : Vulnérabilité dans les produits Moxa

Gestion du document

Référence	CERTFR-2023-AVI-0802
Titre	Vulnérabilité dans les produits Moxa
Date de la première version	04 octobre 2023
Date de la dernière version	04 octobre 2023
Source(s)	Bulletin de sécurité Moxa MPSA-233328 du 03 octobre 2023

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance

Systèmes affectés

Microcode des séries NPort 5000AI-M12 versions 1.5.x et antérieures
Microcode des séries NPort 5100 (NPort 5110 models) versions 2.10.x et antérieures
Microcode des séries NPort 5100 (NPort 5130/5150 models) versions 3.10.x et antérieures
Microcode des séries NPort 5100A versions 1.6 et antérieures
Microcode des séries NPort 5200 versions 2.12 et antérieures
Microcode des séries NPort 5200A versions 1.6 et antérieures
Microcode des séries NPort 5410/5430 (révisions 2.x et antérieures) versions 2.9 et antérieures
Microcode des séries NPort 5410/5430 (révisions 3.2 et ultérieures) et NPort 5450 (toutes révisions) versions 3.14 et antérieures
Microcode des séries NPort 5600 versions 3.11 et antérieures
Microcode des séries NPort 5600-DT versions 2.9 et antérieures
Microcode des séries NPort IA5000 (versions matérielles 1.x) versions 1.7 et antérieures
Microcode des séries NPort IA5000 (versions matérielles 2.0 et ultérieures) versions 2.1 et antérieures
Microcode des séries NPort IA5000A (NPort IA5150A/IA5250A) versions 1.5 et antérieures
Microcode des séries NPort IA5000A (NPort IA5450A) versions 2.0 et antérieures
Microcode des séries NPort IA5000A-I/O versions 2.0 et antérieures
Microcode des séries NPort IAW5000A-I/O versions 2.2 et antérieures
Microcode des séries NPort P5150A versions 1.6 et antérieures

Résumé

Une vulnérabilité a été découverte dans les produits Moxa. Elle permet à un attaquant de provoquer une atteinte à l'intégrité des données, un contournement de la politique de sécurité et une exécution de code arbitraire à distance.

L'éditeur ne propose pas de correctif pour cette vulnérabilité. Des mesures de contournement sont énoncées dans le bulletin de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Moxa MPSA-233328 du 03 octobre 2023
https://www.moxa.com/en/support/product-support/security-advisory/mpsa-233328-nport-5000-series-firmware-improper-validation-of-integrity-check-vulnerability
Référence CVE CVE-2023-4929
https://www.cve.org/CVERecord?id=CVE-2023-4929

Gestion détaillée du document

Date	Description
04 octobre 2023	Version initiale