[SA] Beveiligingsadvies - Zyxel-beveiligingsadvies voor kwetsbaarheden in de authenticatieomleiding en opdrachtinjectie in NAS-producten

CVE's: CVE-2023-35137, CVE-2023-35138, CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, CVE-2023-4474

Samenvatting

Zyxel heeft patches uitgebracht die een kwetsbaarheid in de omzeiling van de authenticatie en kwetsbaarheden in de opdrachtinjectie in NAS-producten verhelpen. Gebruikers wordt geadviseerd deze te installeren voor optimale bescherming.

Wat zijn de kwetsbaarheden?

CVE-2023-35137

Door een kwetsbaarheid voor onjuiste verificatie in de verificatiemodule in Zyxel NAS-apparaten kan een niet-geauthenticeerde aanvaller systeeminformatie verkrijgen door een bewerkte URL naar een kwetsbaar apparaat te sturen.

CVE-2023-35138

Dooreen kwetsbaarheid voor opdrachtinjectie in de functie "show_zysync_server_contents" in Zyxel NAS-apparaten kan een niet-geauthenticeerde aanvaller bepaalde opdrachten van het besturingssysteem (OS) uitvoeren door een aangepast HTTP POST-verzoek te verzenden.

CVE-2023-37927

Door het onjuist neutraliseren van speciale elementen in het CGI-programma in Zyxel NAS-apparaten kan een geauthenticeerde aanvaller sommige OS-opdrachten uitvoeren door een vervalste URL te verzenden naar een kwetsbaar apparaat.

CVE-2023-37928

Door een post-authenticatie kwetsbaarheid voor opdrachtinjectie in de WSGI-server in Zyxel NAS-apparaten kan een geauthenticeerde aanvaller sommige OS-opdrachten uitvoeren door een vervalste URL naar een kwetsbaar apparaat te sturen.

CVE-2023-4473

Door een kwetsbaarheid voor opdrachtinjectie in de webserver van Zyxel NAS-apparaten kan een niet-geauthenticeerde aanvaller bepaalde OS-opdrachten uitvoeren door een vervalste URL naar een kwetsbaar apparaat te sturen.

CVE-2023-4474

Door het onjuist neutraliseren van speciale elementen in de WSGI-server in Zyxel NAS-apparaten kan een niet-geauthenticeerde aanvaller bepaalde OS-opdrachten uitvoeren door een vervalste URL naar een kwetsbaar apparaat te sturen.

Welke versies zijn kwetsbaar en wat moet u doen?

Na grondig onderzoek hebben we de kwetsbare producten geïdentificeerd die binnen hun ondersteuningsperiode voor kwetsbaarheden vallen, met hun firmwarepatches in de onderstaande tabel.

Hebt u een vraag?

Neem contact op met uw lokale servicevertegenwoordiger of bezoek de community van Zyxel voor meer informatie of hulp.

Erkenning

Met dank aan de volgende beveiligingsonderzoekers en adviesbureaus:

• Maxim Suslov voor CVE-2023-35137 en CVE-2023-35138
• Gábor Selján van BugProve voor CVE-2023-37927, CVE-2023-37928, CVE-2023-4473 en CVE-2023-4474
• Drew Balfour van X-Force Red voor CVE-2023-4473

Herzieningsgeschiedenis

2023-11-7: Eersteuitgave.