[SA] Sikkerhedsmeddelelse - Zyxel sikkerhedsmeddelelse om sårbarheder i NAS-produkter i forbindelse med omgåelse af autentificering og kommandoindsprøjtning

CVE'er: CVE-2023-35137, CVE-2023-35138, CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, CVE-2023-4474

Sammenfatning

Zyxel har udgivet patches, der adresserer en sårbarhed i forbindelse med omgåelse af autentificering og sårbarheder i forbindelse med kommandoindsprøjtning i NAS-produkter. Brugere rådes til at installere dem for optimal beskyttelse.

Hvad er sårbarhederne?

CVE-2023-35137

En ukorrekt autentificeringssårbarhed i autentificeringsmodulet i Zyxel NAS-enheder kan give en uautoriseret angriber mulighed for at få systemoplysninger ved at sende en udformet URL til en sårbar enhed.

CVE-2023-35138

En kommandoindsprøjtningssårbarhed i funktionen "show_zysync_server_contents" i Zyxel NAS-enheder kan gøre det muligt for en uautoriseret angriber at udføre nogle operativsystemkommandoer (OS) ved at sende en udformet HTTP POST-anmodning.

CVE-2023-37927

Ukorrekt neutralisering af specielle elementer i CGI-programmet i Zyxel NAS-enheder kan gøre det muligt for en autentificeret angriber at udføre nogle OS-kommandoer ved at sende en crafted URL til en sårbar enhed.

CVE-2023-37928

En post-autentication command injection-sårbarhed i WSGI-serveren i Zyxel NAS-enheder kan gøre det muligt for en autentificeret angriber at udføre nogle OS-kommandoer ved at sende en udformet URL til en sårbar enhed.

CVE-2023-4473

En command injection-sårbarhed i webserveren i Zyxel NAS-enheder kan gøre det muligt for en uautoriseret angriber at udføre nogle OS-kommandoer ved at sende en udformet URL til en sårbar enhed.

CVE-2023-4474

Ukorrekt neutralisering af specielle elementer i WSGI-serveren i Zyxel NAS-enheder kan gøre det muligt for en uautoriseret angriber at udføre nogle OS-kommandoer ved at sende en udformet URL til en sårbar enhed.

Hvilke versioner er sårbare - og hvad skal du gøre?

Efter en grundig undersøgelse har vi identificeret de sårbare produkter, der er inden for deres supportperiode for sårbarheder, med deres firmwareopdateringer vist i tabellen nedenfor.

Har du et spørgsmål?

Kontakt din lokale servicerepræsentant eller besøg Zyxels community for yderligere information eller hjælp.

Anerkendelse

Tak til følgende sikkerhedsforskere og konsulentfirmaer:

• Maxim Suslov for CVE-2023-35137 og CVE-2023-35138
• Gábor Selján fra BugProve for CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, og CVE-2023-4474
• Drew Balfour fra X-Force Red for CVE-2023-4473

Revisionshistorik

2023-11-7: Førsteudgivelse.