CVE-2019-5138

Firmware Moxa AWK-3131A versão 1.13

Existe uma vulnerabilidade de injeção de comando explorável na funcionalidade do script de diagnóstico criptografado. Um arquivo de script de diagnóstico especialmente criado pode fazer com que comandos arbitrários do busybox sejam executados, resultando no controle remoto do dispositivo. Um invasor pode enviar scripts de diagnóstico enquanto estiver autenticado como um usuário com privilégios reduzidos para acionar essa vulnerabilidade. A vulnerabilidade se deve à falta de neutralização de elementos especiais usados no comando do sistema operacional.

Para o firmware Moxa AWK-3131A versão 1.13, considere desativar a funcionalidade de script de diagnóstico até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao dispositivo para minimizar o risco de controle remoto. Evite usar os comandos do busybox no arquivo de script de diagnóstico até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.