[TLP:CLEAR] Zyxel NAS326 a NAS542 opravuje 5 zraniteľností

Zyxel opravuje 5 zraniteľností v produktoch NAS326 a NAS542. Zraniteľnosti sú opravené verziou V5.21(AAZF.17)C0 pre NAS326 a verziou V5.21(ABAG.14)C0 pre NAS542 [1].

Zyxel NAS326, NAS542 - command injection
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene spúšťať systémové príkazy na postihnutom zariadení pomocou špeciálne vytvorených HTTP POST požiadaviek [1][2][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 6. 2024.

Zyxel NAS326, NAS542 - code execution (CVE-2024-29974)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný kód na postihnutom zariadení nahratím špeciálne vytvoreného konfiguračného súboru [1][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 6. 2024.

Zyxel NAS326, NAS542 - command execution (CVE-2024-29975)
CVSS 6.7 (Medium)

Autentizovanému lokálnemu útočníkovi s právami administrátora je umožnené vykonať niektoré príkazy s právami root-a v operačnom systéme zraniteľného zariadenia [1][5].

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 6. 2024.

Zyxel NAS326, NAS542 - code execution (CVE-2024-29976)
CVSS 6.5 (Medium)

Autentizovanému vzdialenému útočníkovi je umožnené neoprávnene získať informácie o relácii prihláseného administrátora vrátane súborov cookies [1][6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 6. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 4. 6. 2024.

CESNET, z.s.p.o. Logo