Zyxel säkerhetsrådgivning för kommandoinjektion och förfalskning av förfrågningar på flera ställen för utvalda Armor hemroutrar

CVE: CVE-2021-4029 , CVE-2021-4030

Sammanfattning:

Zyxel har släppt en patch som adresserar kommandoinjektion och sårbarheter för förfalskning av begäranden på flera ställen i Armor Z2-hemroutern. Användare rekommenderas att installera den för optimalt skydd.

Vilka är sårbarheterna?

CVE-2021-4029

En sårbarhet för kommandoinjektion i CGI-programmet för Armor Z1 och Z2 hemmaroutrar kan tillåta en lokal angripare att utföra godtyckliga OS-kommandon på en sårbar enhet via ett LAN-gränssnitt.

CVE-2021-4030

En sårbarhet för förfalskning av begäranden på flera ställen i HTTP-demonen för Armor Z1- och Z2-hemroutrar kan tillåta en angripare att utföra godtyckliga kommandon om de tvingar eller lurar en lokal användare att besöka en utsatt webbplats med skadliga skript.

Vilka versioner är sårbara – och vad ska du göra?

Efter en grundlig undersökning har vi identifierat endast Armor Z2 som inom dess garanti- och supportperiod. Vi har släppt en firmware-patch för att lösa dessa problem, som visas i tabellen nedan.

Armor Z1 (NBG6816) gick in i slutet av livet år tidigare; Därför stöds inte längre firmwareuppdateringar. Vi rekommenderar att användare med Armor Z1 ersätter den med en nyare generations produkt, som vanligtvis kommer med förbättrad design som bättre passar nuvarande applikationer.

Bekräftelse:

Tack till Exodus Intelligence för att du rapporterade problemen till oss.

Revisionshistorik

2022-02-22: Första release

VARNING:

Kära kund, tänk på att vi använder maskinöversättning för att tillhandahålla artiklar på ditt lokala språk. All text kanske inte översätts korrekt. Om det finns frågor eller avvikelser om riktigheten av informationen i den översatta versionen, läs originalartikeln här: Originalversion