Zyxel ha lanzado actualizaciones de seguridad para corregir 5 vulnerabilidades presentes en algunos dispositivos NAS que han alcanzado el final del período de soporte (EOL).
Productos afectados:
-NAS326, versión de firmware 5.21(AAZF.16)C0 y anteriores
-NAS542, versión de firmware V5.21(ABAG.13)C0 y anteriores
Impacto de la vulnerabilidad:
CVE-2024-29972(CVSSv3 9.8): vulnerabilidad de severidad crítica de inyección de comandos en el programa CGI «remote_help-cgi», que podrían permitir a un actor malicioso no autenticado ejecutar algunos comandos del sistema operativo (SO) enviando una solicitud HTTP POST manipulada.
CVE-2024-29973 (CVSSv3 9.8): vulnerabilidad de severidad crítica e inyección de comandos en el parámetro «setCookie», que podrían permitir a un actor malicioso no autenticado ejecutar algunos comandos del sistema operativo (SO) enviando una solicitud HTTP POST modificada.
CVE-2024-29974 (CVSSv3 9.8): vulnerabilidad de severidad crítica de ejecución de código remoto en el programa CGI «file_upload-cgi», que podrían permitir que un actor malicioso no autenticado ejecute código arbitrario cargando un archivo de configuración modificado en un dispositivo vulnerable.
CVE-2024-29975 (CVSSv3 6.7): vulnerabilidad de severidad media de gestión de privilegios inadecuada en el binario ejecutable SUID, que podrían permitir a un actor malicioso local autenticado con privilegios de administrador ejecutar algunos comandos del sistema como el usuario «root» en un dispositivo vulnerable.
CVE-2024-29976 (CVSSv3 6.5): vulnerabilidad de severidad media de gestión de privilegios incorrecta en el comando «show_allsessions», que podrían permitir que un actor malicioso autenticado obtenga información de la sesión de un administrador conectado que contenga cookies en un dispositivo afectado.
Recomendación:
Se recomienda a los usuarios actualizar el firmware a la última versión disponible desde la página oficial del fabricante.
Referencia:
-https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-nas-products-06-04-2024
-https://nvd.nist.gov/vuln/detail/CVE-2024-29972
-https://nvd.nist.gov/vuln/detail/CVE-2024-29973
-https://nvd.nist.gov/vuln/detail/CVE-2024-29974
-https://nvd.nist.gov/vuln/detail/CVE-2024-29975
-https://nvd.nist.gov/vuln/detail/CVE-2024-29976