Zyxel remediază o vulnerabilitate critică în Acces Point-uri și Routere

Zyxel a lansat actualizări de software pentru a remedia o vulnerabilitate critică ce afectează anumite versiuni de Acces Point-uri (AP) și Routere de securitate. Exploatarea cu succes ar putea permite executarea de comenzi neautorizate.

Identificată ca CVE-2024-7261 (scor CvSS: 9,8/10), vulnerabilitatea a fost descrisă ca fiind o eroare de injectare de comenzi ale sistemului de operare (OS).

De asemenea, Zyxel a lansat actualizări pentru opt vulnerabilități ale routerelor și firewall-urilor sale, dintre care puține au grad de severitate high, și care ar putea duce la executarea comenzilor sistemului de operare, la atacuri de tip denial-of-service (DoS) sau la accesarea informațiilor din browser.

CVE-2024-5412 (scor CVSS: 7.5) – O vulnerabilitate de tip buffer overflow în biblioteca libclinkc care ar putea permite unui atacator neautentificat să lanseze un atac de tip DoS prin intermediul unei cereri HTTP malițioase.

CVE-2024-6343 (scor CVSS: 4.9) – O vulnerabilitate de tip buffer overflow care ar putea permite unui atacator autentificat cu privilegii de administrator să lanseze un atac de tip DoS prin intermediul unei cereri HTTP malițioase.

CVE-2024-7203 (scor CVSS: 7.2) – O vulnerabilitate de injectare de comenzi post-autentificare care ar putea permite unui atacator autentificat cu privilegii de administrator să execute comenzi ale sistemului de operare

CVE-2024-42057 (scor CVSS: 8.1) – O vulnerabilitate de injectare de comenzi în funcția VPN IPSec care ar putea permite unui atacator neautentificat să execute anumite comenzi ale sistemului de operare

CVE-2024-42058 (scor CVSS: 7.5) – O vulnerabilitate de tip null pointer dereference care ar putea permite unui atacator neautentificat să provoace atacuri de tip DoS prin trimiterea de pachete malițioase.

CVE-2024-42059 (scor CVSS: 7.2) – O vulnerabilitate de injectare de comenzi post-autentificare care ar putea permite unui atacator autentificat cu privilegii de administrator să execute unele comenzi ale sistemului de operare prin încărcarea unui fișier malițios comprimat de tip language prin FTP.

CVE-2024-42060 (scor CVSS: 7.2) – O vulnerabilitate de injectare de comenzi post-autentificare în unele versiuni de firewall ar putea permite unui atacator autentificat cu privilegii de administrator să execute unele comenzi ale sistemului de operare.

CVE-2024-42061 (scor CVSS: 6.1) – O vulnerabilitate de tip reflected cross-site scripting (XSS) în programul CGI dynamic_script.cgi care ar putea permite unui atacator să păcălească un utilizator să acceseze un URL malițios creat cu payload XSS și să obțină informații din cadrul browser-ului.

Sursă: https://thehackernews.com/2024/09/zyxel-patches-critical-os-command.html