Poradnik bezpieczeństwa Zyxel dotyczący wstrzykiwania poleceń i podatności na fałszowanie żądań między witrynami wybranych routerów domowych Armor

CVE: CVE-2021-4029 , CVE-2021-4030

Streszczenie:

Firma Zyxel wydała poprawkę adresującą luki w zabezpieczeniach wstrzykiwania poleceń i fałszowania żądań między witrynami w routerze domowym Armor Z2. Użytkownikom zaleca się zainstalowanie go w celu uzyskania optymalnej ochrony.

Jakie są luki w zabezpieczeniach?

CVE-2021-4029

Luka wstrzykiwania poleceń w programie CGI routerów domowych Armor Z1 i Z2 może umożliwić lokalnemu napastnikowi wykonanie dowolnych poleceń systemu operacyjnego na podatnym urządzeniu za pośrednictwem interfejsu LAN.

CVE-2021-4030

Luka umożliwiająca fałszowanie żądań między witrynami w demonie HTTP routerów domowych Armor Z1 i Z2 może umożliwić atakującemu wykonanie dowolnych poleceń, jeśli wymusi lub nakłoni użytkownika lokalnego do odwiedzenia zaatakowanej witryny ze złośliwymi skryptami.

Które wersje są podatne na ataki — i co należy zrobić?

Po dokładnym zbadaniu zidentyfikowaliśmy tylko Armor Z2 jako w okresie gwarancji i wsparcia. Opublikowaliśmy poprawkę oprogramowania układowego, która rozwiązuje te problemy, jak pokazano w poniższej tabeli.

Armor Z1 (NBG6816) wszedł na koniec życia w poprzednich latach; dlatego aktualizacje oprogramowania układowego nie są już obsługiwane. Zalecamy, aby użytkownicy posiadający Armor Z1 zastąpili go produktem nowszej generacji, który zazwyczaj ma ulepszone projekty, które lepiej pasują do obecnych zastosowań.

Potwierdzenie:

Dziękujemy firmie Exodus Intelligence za zgłoszenie nam problemów.

Historia zmian

2022-02-22: Pierwsze wydanie

ZASTRZEŻENIE:

Drogi Kliencie, pamiętaj, że używamy tłumaczenia maszynowego, aby dostarczać artykuły w Twoim lokalnym języku. Nie każdy tekst może zostać przetłumaczony dokładnie. W przypadku pytań lub rozbieżności co do dokładności informacji w przetłumaczonej wersji zapoznaj się z oryginalnym artykułem tutaj: Wersja oryginalna