Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Zyxel opravuje 3 zraniteľnosti vo viacerých produktoch

Zyxel opravuje 3 zraniteľnosti nachádzajúce sa v produktoch 4G LTE/5G NR CPE, DSL/Ethernet CPE, Fiber ONT a WiFi extenderoch. Produkty a ich opravené verzie môžete nájsť v tabuľkách na [1].

Zyxel 4G LTE/5G NR CPE, DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - odmietnutie služby (CVE-2024-8748)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je prostredníctvom odoslania sfalšovanej HTTP POST požiadavky umožnené vykonať DoS útok na webovom rozhraní pre správu [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

  • CVE-2024-8748 na cve.org, NVD
  • CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 12. 2024.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - odmietnutie služby (CVE-2024-9197)
CVSS 4.9 (Medium)

Autentizovanému vzdialenému útočníkovi s právami správcu je prostredníctvom odoslania sfalšovanej HTTP GET požiadavky, ak je povolená funkcia ZyEE, umožnené vykonať DoS útok na webovom rozhraní pre správu [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

  • CVE-2024-9197 na cve.org, NVD
  • CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 12. 2024.

Zyxel DSL/Ethernet CPE firmware - vykonanie príkazov (CVE-2024-9200)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s oprávnením správcu je umožnené vykonať príkazy operačného systému [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-9200 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 12. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 3. 12. 2024.

CESNET, z.s.p.o. Logo