Identificadas vulnerabilidades en dispositivos Moxa AIG-302 ThingsPro Edge

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha emitido una alerta [https://www.cisa.gov/news-events/ics-advisories/icsa-26-293-03] sobre dos vulnerabilidades que afectan a los dispositivos Moxa AIG-302 ThingsPro Edge con versiones de firmware 1.4.0 o anteriores. Estos sistemas, utilizados en sectores de infraestructura crítica como la manufactura, energía y sistemas de agua y aguas residuales a nivel mundial, presentan riesgos que han sido abordados por el fabricante.

La vulnerabilidad CVE-2026-109813, clasificada con severidad ALTA (CVSS v3.1 Base Score: 8.1; CVSS v4.0 Base Score: 8.6), reside en el uso de una clave criptográfica codificada en el binario /usr/bin/sysman. Un atacante no autenticado con acceso a la red adyacente podría explotar esta debilidad para exponer el material de la clave privada, lo que comprometería la confidencialidad y la integridad de las comunicaciones. Esta vulnerabilidad está catalogada bajo CWE-321.

Por otro lado, la CVE-2026-109812, con una severidad MEDIA (CVSS v3.1 Base Score: 6.8; CVSS v4.0 Base Score: 6.9), se debe a una falta de autorización en la API interna /api/v1/secrets/. Un atacante autenticado con privilegios y acceso a la red adyacente podría explotar este fallo para acceder a información sensible. Esto incluye la posible divulgación de datos confidenciales y material de claves criptográficas. Esta vulnerabilidad se relaciona con CWE-862.

Moxa ha publicado el firmware v1.4.1, que corrige ambas vulnerabilidades. Se recomienda a los usuarios actualizar sus dispositivos a esta versión. Las actualizaciones pueden realizarse a través de la consola web del AIG-302, mediante la función de búsqueda de actualizaciones en línea o cargando manualmente el parche. Para más información, Moxa ha emitido el aviso de seguridad MPSA-262560.

CISA ha señalado que, hasta la fecha, no se ha reportado ninguna explotación pública conocida de estas vulnerabilidades. Es relevante indicar que ambas requieren acceso a la red adyacente y no son explotables de forma remota.