[SA] Zyxel Security Advisory - aviso de seguridad para múltiples vulnerabilidades en cortafuegos

CVEs:CVE-2024-6343, CVE-2024-7203, CVE-2024-42057, CVE-2024-42058, CVE-2024-42059, CVE-2024-42060, CVE-2024-42061

Resumen

Zyxel ha publicado parches que solucionan múltiples vulnerabilidades en algunas versiones de cortafuegos. Se recomienda a los usuarios que instalen los parches para una protección óptima.

¿Cuáles son las vulnerabilidades?

CVE-2024-6343

Una vulnerabilidad de desbordamiento de búfer en el programa CGI de algunas versiones de cortafuegos podría permitir a un atacante autenticado con privilegios de administrador provocar condiciones de denegación de servicio (DoS) enviando una solicitud HTTP manipulada a un dispositivo vulnerable.

CVE-2024-7203

Una vulnerabilidad de inyección de comandos posterior a la autenticación en algunas versiones de cortafuegos podría permitir a un atacante autenticado con privilegios de administrador ejecutar algunos comandos del sistema operativo (SO) en un dispositivo afectado mediante la ejecución de un comando CLI manipulado.

CVE-2024-42057

Una vulnerabilidad de inyección de comandos en la función VPN IPSec de algunas versiones de cortafuegos podría permitir a un atacante no autenticado ejecutar algunos comandos del sistema operativo en un dispositivo afectado enviando un nombre de usuario manipulado al dispositivo vulnerable. Tenga en cuenta que este ataque sólo podría tener éxito si el dispositivo estuviera configurado en modo de autenticación User-Based-PSK y existiera un usuario válido con un nombre de usuario largo de más de 28 caracteres.

CVE-2024-42058

Una vulnerabilidad de desviación de puntero nulo en algunas versiones de cortafuegos podría permitir a un atacante no autenticado provocar condiciones de denegación de servicio enviando paquetes manipulados a un dispositivo vulnerable.

CVE-2024-42059

Una vulnerabilidad de inyección de comandos posterior a la autenticación en algunas versiones de cortafuegos podría permitir a un atacante autenticado con privilegios de administrador ejecutar algunos comandos del sistema operativo en un dispositivo afectado mediante la carga de un archivo de idioma comprimido manipulado a través de FTP.

CVE-2024-42060

Una vulnerabilidad de inyección de comandos posterior a la autenticación en algunas versiones de cortafuegos podría permitir a un atacante autenticado con privilegios de administrador ejecutar algunos comandos del sistema operativo en un dispositivo afectado cargando un archivo de acuerdo de usuario interno manipulado en el dispositivo vulnerable.

CVE-2024-42061

Una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada en el programa CGI "dynamic_script.cgi" de algunas versiones de cortafuegos podría permitir a un atacante engañar a un usuario para que visite una URL manipulada con la carga útil XSS. El atacante podría obtener información basada en el navegador si el script malicioso se ejecuta en el navegador de la víctima.

¿Qué versiones son vulnerables y qué debe hacer?

Tras una investigación exhaustiva, hemos identificado los productos vulnerables que se encuentran dentro de su período de soporte de vulnerabilidades y hemos publicado actualizaciones para solucionar las vulnerabilidades, como se muestra en la tabla siguiente.

¿Tiene alguna pregunta?

Póngase en contacto con su representante de servicio local o visite la Comunidad de Zyxel para obtener más información o asistencia.

Agradecimientos

Gracias a los siguientes investigadores y consultores de seguridad:

• Nanyu Zhong y Jinwei Dong de VARAS@IIE por CVE-2024-6343
• Alessandro Sgreccia y Manuel Roccon de HackerHood por CVE-2024-7203
• nella17 de DEVCORE para CVE-2024-42057, CVE-2024-42058, CVE-2024-42059, CVE-2024-42060 y CVE-2024-42061

Historial de revisiones

2024-9-3: Versión inicial