Промышленные компьютеры Moxa серии AIG-302 содержат две уязвимости. Одна позволяет прочитать секреты устройства, включая криптографические ключи. Вторая выдаёт закрытый ключ корневого удостоверяющего центра, одинаковый для всех изделий серии. Обе проблемы требуют доступа в смежный сегмент сети, где работает само устройство. Уязвимы прошивки версии 1.4.1 и более ранние; исправление доступно в патче 1.4.1.
Две уязвимости Moxa AIG-302 и исправление в прошивке 1.4.1
Бюллетень MPSA-262560 опубликован 16 октября 2026 года. Речь идёт о линейке AIG-xx2, куда входит модель AIG-302: это промышленные компьютеры, которые ставят на производстве и подключают к оборудованию и датчикам. Первой уязвимости присвоен рейтинг 6.9 по CVSS 4.0 (средний уровень угрозы), второй - 8.6 (высокий уровень). За обеими стоит один и тот же фактор: злоумышленнику не нужно выходить в интернет, достаточно оказаться в том же сегменте, что и устройство.
Секреты без проверки прав доступа
Уязвимость CVE-2026-109812 описывают как отсутствие авторизации (CWE-862). Внутренний программный интерфейс для работы с хранилищем секретов не проверяет, вправе ли обратившийся пользователь получать такие данные. Злоумышленнику достаточно учётной записи с минимальными правами и доступа в смежную сеть. Ответ устройства содержит конфиденциальную информацию, в том числе материал криптографических ключей. На практике это означает, что учётная запись оператора превращается в источник ключей шифрования, если её пароль утёк или подобран перебором. Рейтинг среднего уровня объясняется просто: без действующей учётной записи уязвимость не срабатывает.
Ключ корневого удостоверяющего центра в прошивке
Вторая уязвимость, CVE-2026-109813, связана с жёстко прописанным криптографическим ключом (CWE-321). В служебном компоненте прошивки лежит закрытый ключ корневого удостоверяющего центра - того, что подтверждает подлинность сертификатов для защищённых соединений. Ключ одинаков для всех изделий серии и не меняется при настройке. Аутентификация злоумышленнику не нужна: хватает присутствия в смежной сети. Располагая таким ключом, он влияет на конфиденциальность и целостность трафика, то есть может читать и подменять защищённые данные. Если закрытый ключ корневого центра попадает в чужие руки, доверие ко всем сертификатам, выданным от его имени, теряется, а отозвать один скомпрометированный ключ не получится.
Обновление до версии 1.4.1
Обе проблемы закрыты в прошивке 1.4.1. Если у AIG-302 есть выход в интернет, обновление проверяют и забирают прямо из веб-консоли устройства в разделе обслуживания и обновления программного обеспечения. Без интернета патч скачивают вручную с официального сайта продукта или из службы выпуска программного обеспечения Moxa, а затем загружают через тот же раздел консоли. Вендор не предложил отдельных обходных мер и адресует тех, кто не может обновиться, к общим рекомендациям по безопасности. Пока патч не установлен, число возможных источников атаки сокращает изоляция устройства в отдельном сегменте сети.
Сведений об эксплуатации этих уязвимостей в реальных атаках бюллетень не приводит. Обе нашёл исследователь Ievgen Bondarenko. Проблема с ключом, зашитым в прошивку, показательна для промышленного сегмента: заменить такой ключ можно только вместе с прошивкой, а устройства этого класса работают на объектах годами. Чем дольше изделие стоит на производстве, тем дольше живёт и ключ, который лежит внутри него.
Ссылки
