ICS-ALERT-16-099-01
ICS-CERT在4月8日發布了ICS-ALERT-16-099-01，報告中指出了
Moxa NPort model 6110, firmware Version 1.13,
Moxa NPort model 5110, firmware Version 2.5,
Moxa NPort models 5130 and 5150, firmware Version 3.5, and
Moxa NPort models 6150, 6250, 6450, 6610, and 6650, with firmware Version 1.13.
如上版本的存在以下安全漏洞：
1、 未經驗證的檢索敏感賬戶信息
2、 未經身份驗證的遠程固件更新
3、 緩沖區溢出
4、 XSS
5、 CSRF
這些問題由Digitalbond Labs在Basecamp for Serial Converters研究項目中被發現，同時在今年3月15日Rapid7的博客中也提到了Moxa Nport空憑據的問題，并且發現超過2200個設備通過互聯網訪問，其中46%沒有密碼保護。
什么是串口服務器？
串口服務器是一種具有串口轉以太網功能的設備，他能將RS-232/485/422串口轉換成TCP/IP網絡接口，串口服務器可以通過client和server模式來實現數據的傳輸，串口服務器廣泛的應用在SCADA數據采集環節上，用于解決串口和以太網的通信問題。Nport是Moxa的一個串口服務器系列，應用在國內和全球應用都很廣泛。
Moxa Nport全網分布情況
我們使用了一種Nport的UDP協議對Moxa Nport系列的設備進行了全網的掃描，針對Moxa Nport全網的掃描統計我們掃描器首次掃描時間在2015年的4月中旬，來自我們節點的最新全網數據顯示，有8900多個Nport不同型號的設備連接到公網。根據國家的分布情況，其中接入互聯網使用Nport最多的國家為俄羅斯，然后就是Moxa總部所在的臺灣。如下是Nport串口服務器接入最多的國家排行TOP30。
Russia 2135
Taiwan 1249
Serbia 742
United States of America 685
Poland 541
Brazil 381
Italy 241
Denmark 229
Spain 226
Czech Republic 162
France 150
Netherlands 140
United Kingdom 129
Finland 119
Canada 116
Switzerland 94
China 91
Turkey 90
Sweden 85
Portugal 74
Belgium 73
Romania 69
Slovakia 67
Norway 66
South Korea 65
Australia 63
Japan 63
Germany 61
Croatia 56
Estonia 51
Moxa Nport在全網出現了那些型號？
我們對最新掃描到數據的設備信息字段進行數據統計，整理了接入互聯網的Nport各型號排行TOP30情況。NP5110 1637
OnCell 1376
NP6150 863
NE-4100T 633
NP5130 275
NE-4110S 230
NP5150 295
NP5210 226
5232-N 162
MG-MB3270 126
NP5110A 106
MiiNePort 91
NP5230 81
NP5150A 69
NP5410 68
NP5232 66
W5340 55
NP5210A 48
NE-4110A 41
MG-MB3180 38
NE4110S 35
NP5250A 34
HC4120 25
NP6250 23
NP5450 19
NP5130A 19
NP6450 17
VzW 17
W5312 16
E2210 15
60%的沒有設置密碼保護
我們的掃描規則具備檢查Nport設備是否設置密碼的功能，在讀取到設備狀態的5627條數據中我們發現高達3383條數據沒有設置密碼保護口令，空口令的比率高達了60%。
會導致什么問題？
Nport在沒有配置口令的情況下就意味著任何人可以監視設備和更改Nport的所有設置，攻擊者可能使用上傳未經驗證的固件導致設備宕機。
怎么解決這個問題？
Digitalbond Labs建議能訪問設備的UDP/4800, TCP/4900, TCP/80, TCP/443, TCP/23, TCP/22，UDP/161端口的來源是可信任的。
我們提供的檢測腳本
我們實驗室已經發布了一個基于NMAP枚舉Moxa Nport串口服務器的通用腳本。該腳本可以枚舉Moxa Nport的設備型號，并讀取當前Nport是否設置了密碼。
我們本次提供了極少用于概念驗證的IP數據，這些數據來自我們的全網掃描統計，同時也用于說明用戶在使用Nport時普遍不設置密碼的情況。腳本和驗證數據樣本可以到這里下載:
https://github.com/Z-0ne/MoxaNportScan
