Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Zyxel NAS326 a NAS542 opravuje 5 zranitelností

Zyxel opravuje 5 zranitelností v produktech NAS326 a NAS542. Zranitelnosti jsou opraveny verzí V5.21(AAZF.17)C0 pro NAS326 a verzí V5.21(ABAG.14)C0 pro NAS542 [1].

Zyxel NAS326, NAS542 - command injection
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně spouštět systémové příkazy na postiženém zařízení pomocí speciálně vytvořených HTTP POST požadavků [1][2][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 3. 6. 2024.

Zyxel NAS326, NAS542 - spuštění kódu (CVE-2024-29974)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně vykonávat libovolný kód na postiženém zařízení nahráním speciálně vytvořeného konfiguračního souboru [1][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 3. 6. 2024.

Zyxel NAS326, NAS542 - spuštění příkazů (CVE-2024-29975)
CVSS 6.7 (Medium)

Autentizovanému lokálnímu útočníkovi s právy administrátora je umožněno vykonat některé příkazy s právy root v operačním systému zranitelného zařízení [1][5].

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 3. 6. 2024.

Zyxel NAS326, NAS542 - spuštění kódu (CVE-2024-29976)
CVSS 6.5 (Medium)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně získat informace o relaci přihlášeného administrátora včetně souborů cookies [1][6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 3. 6. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 4. 6. 2024.

CESNET, z.s.p.o. Logo