Moxa MXview 网络管理软件报告的严重安全漏洞

已经披露了一些影响 Moxa MXview 基于 Web 的网络管理系统的安全漏洞的技术细节，其中一些可能被未经身份验证的攻击者链接，以在未打补丁的服务器上实现远程代码执行。

Claroty 安全研究员 Noam Moshe在本周发布的一份报告中表示，这五个安全漏洞“可能允许远程、未经身份验证的攻击者在具有最高可用权限的主机上执行代码：NT AUTHORITY\SYSTEM” 。

Moxa MXview专为配置、监控和诊断工业网络中的网络设备而设计。这些影响网络管理软件 3.x 至 3.2.2 版本的缺陷在 2021 年 10 月的协调披露过程后在3.2.4 或更高版本中得到纠正。

“成功利用这些漏洞可能允许攻击者创建或覆盖关键文件以执行代码、访问程序、获取凭据、禁用软件、读取和修改其他无法访问的数据、允许远程连接到内部通信通道或交互并远程使用 MQTT，”美国网络安全和基础设施安全局 (CISA)在一份公告中表示。

MQTT 指的是一种促进远程异步通信的消息传递协议，支持在 MXview 环境中的不同组件之间传输消息。

缺陷列表如下——

• CVE-2021-38452（CVSS 评分：7.5）- 应用程序中的路径遍历漏洞，允许访问或覆盖用于执行代码的关键文件
• CVE-2021-38454（CVSS 分数：10.0）- 允许远程连接到 MQTT 的错误配置服务，从而可以远程交互和使用通信通道
• CVE-2021-38456（CVSS 分数：9.8）- 使用硬编码密码
• CVE-2021-38458（CVSS 分数：9.8）- 不当中和特殊元素的问题，可能导致远程执行未经授权的命令
• CVE-2021-38460（CVSS 分数：7.5）- 可能允许攻击者获取凭据的密码泄露案例

上述三个漏洞——CVE-2021-38452、CVE-2021-38454 和 CVE-2021-38458 可以串在一起，以在具有系统权限的易受攻击的 MXView 实例上实现预先验证的远程代码执行。

在 Claroty 设计的假设攻击场景中，CVE-2021-38452 可能被滥用，通过读取配置文件 gateway-upper.ini 来获取纯文本 MQTT 密码，然后利用 CVE-2021-38454 注入流氓 MQTT消息，通过服务器上的命令注入触发代码执行。

“攻击者直接向 MQTT 代理注入恶意消息，绕过服务器执行的所有输入验证，并通过 OS 命令注入漏洞实现任意远程代码执行，”Moshe 解释说。