Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Zyxel opravuje 3 zraniteľnosti vo svojich produktoch

Zyxel opravuje 3 vysoko závažné zraniteľnosti vo svojich produktoch. Informácie o konkrétnych produktoch a opravených verziách nájdete na [1]. Je dôležité poznamenať, že prístup WAN je v predvolenom nastavení zakázaný a útok je možný iba pri kompromitácii silného administrátorského hesla [1].

Zyxel DSL/Ethernet CPE firmware - post-authentication command injection (CVE-2024-11253)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je prostredníctvom parametra "DNSServer" v určitých verziách firmvéru DSL/Ethernet CPE umožnené vykonávať príkazy v operačnom systéme zraniteľného zariadenia [1][2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-11253 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12009)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je prostredníctvom funkcie "ZyEE" v určitých verziách firmvéru DSL/Ethernet CPE, fiber ONT a WiFi extenderov umožnené vykonávať príkazy v operačnom systéme zraniteľného zariadenia [1][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-12009 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12010)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je prostredníctvom funkcie "zyUtilMailSend" v určitých verziách firmvéru DSL/Ethernet CPE, fiber ONT a WiFi extenderov umožnené vykonávať príkazy v operačnom systéme zraniteľného zariadenia [1][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-12010 na cve.org, NVD
  • CWE-78: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 11. 3. 2025.

CESNET, z.s.p.o. Logo