[SA] Sicherheitshinweis - Zyxel-Sicherheitshinweis für Authentifizierungsumgehung und Befehlsinjektion in NAS-Produkten

CVEs: CVE-2023-35137, CVE-2023-35138, CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, CVE-2023-4474

Zusammenfassung

Zyxel hat Patches veröffentlicht, die eine Schwachstelle bei der Umgehung der Authentifizierung und eine Schwachstelle bei der Befehlsinjektion in NAS-Produkten beheben. Benutzern wird empfohlen, diese Patches zu installieren, um sich optimal zu schützen.

Was sind die Sicherheitslücken?

CVE-2023-35137

Eine unzul�ssige Authentifizierungsschwachstelle im Authentifizierungsmodul von Zyxel NAS-Ger�ten könnte es einem nicht authentifizierten Angreifer ermöglichen, Systeminformationen zu erhalten, indem er eine manipulierte URL an ein verwundbares Ger�t sendet.

CVE-2023-35138

Eine Befehlsinjektionsschwachstelle in der Funktion "show_zysync_server_contents" in Zyxel NAS-Geräten könnte es einem nicht authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle auszuführen, indem er eine manipulierte HTTP-POST-Anfrage sendet.

CVE-2023-37927

Die unsachgem�ße Neutralisierung spezieller Elemente im CGI-Programm in Zyxel NAS-Ger�ten könnte es einem authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle auszuf�hren, indem er eine manipulierte URL an ein verwundbares Ger�t sendet.

CVE-2023-37928

Eine Schwachstelle in der Befehlsinjektion nach der Authentifizierung im WSGI-Server in Zyxel NAS-Geräten könnte es einem authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle auszuführen, indem er eine manipulierte URL an ein verwundbares Gerät sendet.

CVE-2023-4473

Eine Sicherheitsl�cke im Webserver von Zyxel NAS-Ger�ten könnte es einem nicht authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle auszuf�hren, indem er eine manipulierte URL an ein verwundbares Ger�t sendet.

CVE-2023-4474

Die unsachgemäße Neutralisierung spezieller Elemente im WSGI-Server in Zyxel NAS-Geräten könnte es einem nicht authentifizierten Angreifer ermöglichen, einige Betriebssystembefehle auszuführen, indem er eine manipulierte URL an ein verwundbares Gerät sendet.

Welche Versionen sind anfällig - und was sollten Sie tun?

Nach einer gründlichen Untersuchung haben wir die verwundbaren Produkte identifiziert, die sich noch im Support-Zeitraum für die Verwundbarkeit befinden. Die Firmware-Patches sind in der folgenden Tabelle aufgeführt.

Haben Sie eine Frage?

Wenden Sie sich bitte an Ihren lokalen Servicevertreter oder besuchen Sie die Zyxel-Community, um weitere Informationen oder Unterstützung zu erhalten.

Danksagung

Vielen Dank an die folgenden Sicherheitsforscher und Beratungsunternehmen:

• Maxim Suslov für CVE-2023-35137 und CVE-2023-35138
• Gábor Selján von BugProve für CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, und CVE-2023-4474
• Drew Balfour von X-Force Red für CVE-2023-4473

Geschichte der Revisionen

2023-11-7: ErsteVeröffentlichung.