工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補

10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備存在高風險漏洞CVE-2024-9137、CVE-2024-9139，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。

根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。

另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。

而對於這些漏洞的影響範圍，包括資安路由器EDR-8010、EDR-G9004、EDR-G9010、NAT-102系列，以及無線寬頻通訊路由器OnCell G4302-LTE4、軌道車輛路由器TN-4900系列機種。對於無法即時套用新版韌體的企業組織，Moxa也列出緩解建議，包括減少裝置曝露於網際網路、透過防火牆限制存取，以及採用入侵偵測系統（IDS）、入侵防禦系統（IPS）來偵測及防範漏洞利用的情況。我們也向Moxa進一步確認此事，該公司表示，尚未接到客戶反映出現重大影響的情況。