NVD / CVE Programı· CNA mitre

CVE-2019-9099: An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before 2.3…

KritikCVSS 9.8 · v3.1—İstismar yok Düzeltme kaydı yok

Noroxi değerlendirmesi

Öncelik: Planlayın (aksiyon skoru 40/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %4 (FIRST EPSS); kayıtların %90,7 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Kayda göre henüz düzeltme sürümü yok.
Önem derecesi tartışmalı: kaydı açan kurum (CNA) 7.5, NVD 9.8 puan veriyor.

Olağan yama döngüsüne alın. Düzeltme yayımlandığında güncelleyin; üreticinin duyurusunu izleyin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before 2.3, and MB3180 devices before 2.1. A Buffer overflow in the built-in web server allows remote attackers to initiate DoS, and probably to execute arbitrary code (issue 1 of 2).

BDU:2019-03266

Yayın: 11 Mar 2020
Güncelleme: 16 Haz 2026
EPSS: %4,0 · 90. yüzdelik
CWE: CWE-120

Rapor araçları

JSON

Aksiyon skoru

Planlayın

Olağan yama döngüsüne alın.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 1 / 30 · %4,0

CNA ile NVD puanı

NVD: 9,8
CNA · mitre: 7,5; 2,3 puan fark

CVSS:3.0/AC:L/AV:N/A:H/C:N/I:N/PR:N/S:U/UI:N

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme sürümü henüz yok

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
moxa	mb3170 firmware	cpe:2.3:o:moxa:mb3170_firmware
moxa	mb3170	cpe:2.3:h:moxa:mb3170
moxa	mb3270 firmware	cpe:2.3:o:moxa:mb3270_firmware
moxa	mb3270	cpe:2.3:h:moxa:mb3270
moxa	mb3180 firmware	cpe:2.3:o:moxa:mb3180_firmware
moxa	mb3180	cpe:2.3:h:moxa:mb3180
moxa	mb3280 firmware	cpe:2.3:o:moxa:mb3280_firmware
moxa	mb3280	cpe:2.3:h:moxa:mb3280
moxa	mb3480 firmware	cpe:2.3:o:moxa:mb3480_firmware
moxa	mb3480	cpe:2.3:h:moxa:mb3480
moxa	mb3660 firmware	cpe:2.3:o:moxa:mb3660_firmware
moxa	mb3660	cpe:2.3:h:moxa:mb3660

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

moxa mb3170 firmware4.0 dahil
moxa mb3180 firmware2.0 dahil
moxa mb3270 firmware4.0 dahil
moxa mb3280 firmware3.0 dahil
moxa mb3480 firmware3.0 dahil
moxa mb3660 firmware2.2 dahil

Aynı üründe

moxa: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2019-9096An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
40Planlayın
CVE-2019-9095An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
39İzleyin
CVE-2019-9102An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
35İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2019-909711 Mar 2020 · An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
21İzleyin
← ÖncekiCVE-2019-909811 Mar 2020 · An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
31İzleyin
Sonraki →CVE-2019-910111 Mar 2020 · An issue was discovered on Moxa MGate MB3170 and MB3270 devices before 4.1, MB3280 and MB3480 devices before 3.1, MB3660 devices before…
30İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın dışında tarihli olay yok.

Bu kayıtta yok: EPSS geçmişi · yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yüksek · veri ya da yapılandırma değiştirilebilir
Erişilebilirlik: yüksek · hizmet durdurulabilir

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yüksek
Erişilebilirlik etkisi: Yüksek

Zayıflık sınıfı (CWE)

CWE-120 · Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Kök neden

Veri kopyalanırken kaynağın uzunluğu, hedef arabelleğin boyutuyla karşılaştırılmıyor. Fazla veri, bitişik belleğin üzerine yazılır.

Hatanın kod karşılığı

CWE-120 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1char buf[256];
2memcpy(buf, pkt->data, pkt->len);

Düzeltilmiş

1char buf[256];
2if (pkt->len > sizeof(buf)) {
3  return -EINVAL;
4}
5memcpy(buf, pkt->data, pkt->len);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

—

Değişiklik günlüğü (0)

Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.

Referanslar

www.moxa.com/en/support/support/security-advisory/mb3710-3180-3270-3280-3480-3660-vulnerabilities

Tüm referansları göster (1 daha)

www.us-cert.gov/ics/advisories/icsa-20-056-01

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar