Sicherheitshinweis von Zyxel für XSS-Schwachstelle und Befehlseinschleusung nach der Authentifizierung

Sicherheitshinweis von Zyxel für XSS-Schwachstelle und Schwachstelle bei der Befehlsinjektion nach der Authentifizierung in Firewalls

CVE: CVE-2023-27990, CVE-2023-27991

Zusammenfassung

Zyxel hat Patches für einige Firewalls veröffentlicht, die von einer gespeicherten Cross-Site-Scripting (XSS)-Schwachstelle und einer Post-Authentication Command Injection-Schwachstellebetroffen sind . Benutzern wird empfohlen, diese Patches zu installieren, um sich optimal zu schützen.

Um welche Sicherheitslücken handelt es sich?

CVE-2023-27990

Die XSS-Schwachstelle in einigen Firewall-Versionen könnte es einem authentifizierten Angreifer mit Administratorrechten ermöglichen, bösartige Skripts in einem anfälligen Gerät zu speichern. Ein erfolgreicher XSS-Angriff könnte dann dazu führen, dass die gespeicherten bösartigen Skripte ausgeführt werden, wenn der Benutzer die Seite Logs" der grafischen Benutzeroberfläche des Geräts aufruft.

CVE-2023-27991

Die Schwachstelle bei der Befehlsinjektion nach der Authentifizierung im CLI-Befehl einiger Firewall-Versionen könnte es einem authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle aus der Ferne auszuführen. Beachten Sie, dass der WAN-Zugang auf den Firewall-Geräten standardmäßig deaktiviert ist.

Welche Versionen sind anfällig - und was sollten Sie tun?

Nach einer gründlichen Untersuchung haben wir die anfälligen Produkte identifiziert, die sich noch im Support-Zeitraum für die Schwachstelle befinden, und Patches zur Behebung der Schwachstelle veröffentlicht, wie in der folgenden Tabelle dargestellt.

Haben Sie eine Frage?

Bitte wenden Sie sich an Ihren lokalen Kundendienst oder besuchen Sie die Zyxel Community, um weitere Informationen oder Unterstützung zu erhalten.

Danksagung

Vielen Dank an Alessandro Sgreccia von Tecnical Service SRL, der uns die Probleme gemeldet hat.

Revisionshistorie

2023-4-25: ErsteVeröffentlichung