Sårbarheder i Zyxel netværksenheder

Der er fundet en række sårbarheder i Zyxel’s netværksenheder, hvoraf en er kritisk.

Det skriver Help Net Security.

Den kritiske sårbarhed kan gøre det muligt for uautoriserede angribere at afvikle OS-kommandoer på mange Zyxel access points (AP'er) og sikkerhedsroutere ved at sende en specielt konstrueret cookie til de sårbare enheder.

Sårbarheden har id’et CVE-2024-7261 og er således en OS "command injection"-sårbarhed. Den har sin oprindelse i utilstrækkelig neutralisering af særlige elementer i parameteren “host” i CGI-programmet på nogle AP- og sikkerhedsrouterversioner. CVSS-scoren er 9,8.

De påvirkede enheder er følgende:

• Zyxel NWA1123ACv3 firmware version 6.70(ABVT.4) og tidligere
• WAC500 firmware version 6.70(ABVS.4) og tidligere
• WAX655E firmware version 7.00(ACDO.1) og tidligere
• WBE530 firmware version 7.00(ACLE.1) og tidligere
• USG LITE 60AX firmware version V2.00(ACIP.2)

Udover denne sårbarhed har Zyxel også rettet en række andre sårbarheder i andre produkter i bl.a. firewalls.

Det anbefales at opdatere, jf. Zyxels advisory.