Zyxel retter 15 sikkerhedsfejl

Zyxel har udsendt advarsler om kritiske sårbarheder i firewalls, access points og NAS-enheder. Konkret er der tale om mindst 15 fejl i forskellige produkter, som risikerer command injection, DoS-angreb og omgåelse af autentifikation. Det skriver Security Week.

Særligt udsatte skulle firewalls og access points være, og der advares om, at flere enheder kan udnyttes til at få adgang til konfigurationsfiler, følsomme cookies, påbegynde DoS-angreb og i øvrigt afvikle kommandoer.

Følgende fejl fremhæves som de værste (firewalls og access points:

• CVE-2023-35137 (CVSS7.5)
• CVE-2023-35138 (CVSS 9.8)
• CVE-2023-37927 (CVSS 8.8)
• CVE-2023-37928 (CVSS 8.8)
• CVE-2023-4473 (CVSS 9.8)
• CVE-2023-4474 (CVSS 9.8)

Ifølge Security Week oplyser Zyxel, at sårbarhederne gør, at dets firewalls og access points kan tillade en godkendt lokal angriber at ændre URL'en på registreringssiden i web-GUI'en på en berørt enhed eller få adgang til administratorens logfiler på en berørt enhed.

Zyxel advarer også om sårbarheder vedr. omgåelse af autentifikation og command injection i to NAS-produkter.

Links:

https://www.securityweek.com/major-security-flaws-in-zyxel-firewalls-access-points-nas-devices/

https://www.bleepingcomputer.com/news/security/zyxel-warns-of-multiple-critical-vulnerabilities-in-nas-devices/

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-authentication-bypass-and-command-injection-vulnerabilities-in-nas-products

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps