CVE-2021-39279: Certain MOXA devices allow Authenticated Command Injection via /forms/web_importTFTP.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• moxa oncell g3470a-lte-eu firmware1.7
• moxa oncell g3470a-lte-eu-t firmware1.7
• moxa tap-323-eu-ct-t firmware1.3
• moxa tap-323-jp-ct-t firmware1.3
• moxa tap-323-us-ct-t firmware1.3
• moxa wac-1001 firmware2.1
• moxa wac-1001-t firmware2.1
• moxa wac-2004 firmware1.7
• moxa wdr-3124a-eu firmware2.3
• moxa wdr-3124a-eu-t firmware2.3
• moxa wdr-3124a-us firmware2.3
• moxa wdr-3124a-us-t firmware2.3

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-39278Certain MOXA devices allow reflected XSS via the Config Import menu.
  24Наблюдать

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.