[TLP:CLEAR] Zyxel opravuje 3 zranitelnosti ve svých produktech

Zyxel opravuje 3 vysoce závažné zranitelnosti ve svých produktech. Informace o konkrétních produktech a opravených verzích naleznete na [1]. Je důležité poznamenat, že přístup WAN je ve výchozím nastavení zakázán a útok je možný pouze při kompromitaci silného administrátorského hesla [1].

Zyxel DSL/Ethernet CPE firmware - post-authentication command injection (CVE-2024-11253)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím parametru "DNSServer" v určitých verzích firmwaru DSL/Ethernet CPE umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-11253 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12009)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím fukce "ZyEE" v určitých verzích firmwaru DSL/Ethernet CPE, fiber ONT a WiFi extenderů umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-12009 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12010)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím funkce ”zyUtilMailSend” v určitých verzích firmwaru DSL/Ethernet CPE, fiber ONT a WiFi extenderů umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-12010 na cve.org, NVD
  • CWE-78: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dne 11. 3. 2025.

CESNET, z.s.p.o. Logo