CVE-2025-6950: Appliances de segurança e roteadores Moxa: chave JWT embutida no produto

Visão geral

A CVE-2025-6950 é uma fraqueza de uso de credenciais codificadas no produto (CWE-798) em appliances de segurança de rede e roteadores da Moxa. Os produtos afetados assinam JSON Web Tokens usados na autenticação com uma chave secreta embutida no próprio produto, o que torna possível forjar tokens. O registro foi publicado em 17/10/2025 e referencia um aviso de segurança da Moxa, MPSA-258121, que cobre várias vulnerabilidades relacionadas.

Impacto

Um atacante não autenticado poderia forjar tokens válidos, contornar a autenticação e se passar por qualquer usuário. O registro descreve possíveis consequências como acesso não autorizado, roubo de dados e controle administrativo total do dispositivo afetado. O impacto é descrito como restrito ao próprio dispositivo, sem perda de confidencialidade ou integridade em sistemas subsequentes. O CNA classificou o problema como crítico, com pontuação base CVSS 4.0 de 9.9.

Produtos e versões afetadas

O registro não lista modelos afetados, versões de firmware vulneráveis nem versões corrigidas. As famílias de produtos citadas são os appliances de segurança de rede e roteadores da Moxa. Consulte o aviso da Moxa para a lista oficial de modelos e versões.

• Famílias de produtos citadas no registro: appliances de segurança de rede e roteadores da Moxa.
• Modelos e versões específicas afetadas: desconhecidos nas fontes consultadas.
• Versões corrigidas: desconhecidas nas fontes consultadas.

Status de exploração

O registro indica que a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA e que nenhuma exploração confirmada aparece nas fontes consultadas. Essa informação reflete apenas os dados disponíveis e não comprova que a exploração não tenha ocorrido.

Correção e mitigação

• Inventarie todos os appliances e roteadores Moxa e registre seus modelos e versões de firmware.
• Compare o inventário com o aviso da Moxa e aplique a atualização do fabricante para cada modelo afetado assim que disponível.
• Como a chave de assinatura está embutida no produto, a correção esperada é a atualização de firmware do fabricante. Confirme com o fornecedor se a correção também invalida tokens emitidos antes da atualização.
• Até concluir a correção, restrinja as interfaces de gerenciamento a redes administrativas confiáveis e não as exponha diretamente à internet.
• Limite os perfis administrativos ao menor conjunto prático de usuários.

Orientações de detecção

• Revise os logs de autenticação em busca de sessões administrativas originadas de fontes inesperadas ou sem login legítimo correspondente.
• Observe alterações de configuração não esperadas, novas contas ou atividades administrativas incomuns nos dispositivos.
• Encaminhe os logs dos dispositivos para um sistema central, para correlacionar eventos de autenticação em todo o ambiente.

Limitações das informações disponíveis

O registro não inclui faixas de versões afetadas, versões corrigidas, detalhes de medidas paliativas do fabricante nem dados de exploração além do status KEV. Os dados EPSS presentes no registro são uma estimativa de probabilidade e não confirmam exploração. O aviso da Moxa é a fonte principal para orientações específicas por produto, e esta análise não a substitui.

Perguntas frequentes

A CVE-2025-6950 está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA e que nenhuma exploração confirmada aparece nas fontes consultadas. Acompanhe o aviso da Moxa e as atualizações da CISA.

O que os administradores devem fazer agora?

Inventarie os dispositivos Moxa, compare-os com o aviso do fabricante, aplique as atualizações de firmware quando disponíveis para cada modelo e restrinja as interfaces de gerenciamento a redes confiáveis enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.