Múltiples vulnerabilidades en ThingsPro IIoT Gateway de Moxa
- ThingsPro Gateway versión 2.1
El investigador Alexander Nochvay de Kaspersky Lab ha identificado varias vulnerabilidades de tipo enumeración de usuarios, escalado de privilegios, control de acceso inadecuado, cambio de contraseñas débil, almacenamiento de información sensible en texto claro, ejecución de código de forma remota que afectan al dispositivo ThingsPro Gateway de Moxa. Un potencial atacante remoto podría obtener información sensible, realizar una escalada de privilegios, cambiar las contraseñas o ejecutar código de manera remota.
Moxa ha liberado la versión 2.3 del firmware del dispositivo que soluciona estas vulnerabilidades.
Para la vulnerabilidad de enumeración de usuarios, Moxa recomienda a los usuarios utilizar contraseñas más robustas siguiendo los siguientes criterios:
- Mínimo 8 caracteres de longitud.
- Utilizar caracteres numéricos.
- Utilizar mayúsculas y minúsculas.
- Utilizar caracteres especiales.
- Enumeración de usuarios. Un potencial atacante remoto podría utilizar fuerza bruta para conseguir las contraseñas de los usuarios de la web.
- Escalada de privilegios. Un potencial atacante remoto podría aprovechar esta vulnerabilidad para obtener más privilegios.
- Control de acceso inadecuado. Un potencial atacante remoto podría aprovechar esta vulnerabilidad para obtener más privilegios.
- Uso de funciones inseguras. El sistema de cambio de contraseñas no solicita la contraseña antigua por lo que un potencial atacante remoto podría aprovechar esta vulnerabilidad para cambiar fácilmente las contraseñas.
- Almacenamiento de información sensible en texto claro. La explotación de esta vulnerabilidad permitiría a un atacante remoto adivinar los permisos de token.
- Escalado de privilegios. Un potencial atacante remoto podría obtener privilegios de administrador y conseguir la ejecución de comandos accediendo a la API oculta del token.
- Ejecución remota de código. Un potencial atacante remoto podría realizar la inyección de cadenas de texto y forzar al servidor a ejecutar comandos adicionales.
