[SA] Security Advisory - Zyxel security advisory for authentication bypass and command injection vulnerabilities in NAS products.

CVE: CVE-2023-35137, CVE-2023-35138, CVE-2023-37927, CVE-2023-37928, CVE-2023-4473, CVE-2023-4474

Podsumowanie

Zyxel opublikował poprawki usuwające luki w zabezpieczeniach produktów NAS związane z obejściem uwierzytelniania i wstrzykiwaniem poleceń. Użytkownikom zaleca się ich instalację w celu zapewnienia optymalnej ochrony.

Czego dotyczą luki?

CVE-2023-35137

Nieprawidłowa luka w module uwierzytelniania w urządzeniach Zyxel NAS może pozwolić nieuwierzytelnionemu atakującemu na uzyskanie informacji o systemie poprzez wysłanie spreparowanego adresu URL do podatnego urządzenia.

CVE-2023-35138

Podatność na wstrzyknięcie polecenia w funkcji "show_zysync_server_contents" w urządzeniach Zyxel NAS może pozwolić nieuwierzytelnionemu atakującemu na wykonanie niektórych poleceń systemu operacyjnego (OS) poprzez wysłanie spreparowanego żądania HTTP POST.

CVE-2023-37927

Nieprawidłowa neutralizacja elementów specjalnych w programie CGI w urządzeniach Zyxel NAS może umożliwić uwierzytelnionemu atakującemu wykonanie niektórych poleceń systemu operacyjnego poprzez wysłanie spreparowanego adresu URL do podatnego urządzenia.

CVE-2023-37928

Podatność na wstrzyknięcie polecenia po uwierzytelnieniu w serwerze WSGI w urządzeniach Zyxel NAS może umożliwić uwierzytelnionemu atakującemu wykonanie niektórych poleceń systemu operacyjnego poprzez wysłanie spreparowanego adresu URL do podatnego urządzenia.

CVE-2023-4473

Luka w zabezpieczeniach serwera WWW w urządzeniach Zyxel NAS może umożliwić nieuwierzytelnionemu atakującemu wykonanie niektórych poleceń systemu operacyjnego poprzez wysłanie spreparowanego adresu URL do podatnego urządzenia.

CVE-2023-4474

Nieprawidłowa neutralizacja elementów specjalnych w serwerze WSGI w urządzeniach Zyxel NAS może umożliwić nieuwierzytelnionemu atakującemu wykonanie niektórych poleceń systemu operacyjnego poprzez wysłanie spreparowanego adresu URL do podatnego urządzenia.

Które wersje są podatne na ataki i co należy zrobić?

Po dokładnym zbadaniu zidentyfikowaliśmy podatne produkty, które znajdują się w okresie wsparcia podatności, a ich poprawki oprogramowania układowego przedstawiono w poniższej tabeli.

Masz pytanie?

Skontaktuj się z lokalnym przedstawicielem serwisu lub odwiedź społeczność Zyxel, aby uzyskać dodatkowe informacje lub pomoc.

Podziękowania

Podziękowania dla następujących badaczy bezpieczeństwa i firm konsultingowych:

• Maxim Suslov za CVE-2023-35137 i CVE-2023-35138
• Gábor Selján z BugProve za CVE-2023-37927, CVE-2023-37928, CVE-2023-4473 i CVE-2023-4474
• Drew Balfour z X-Force Red za CVE-2023-4473

Historia zmian

2023-11-7: Pierwszewydanie.