493
Zyxel lanzó una serie de correcciones de seguridad para fallas en sus dispositivos de firewall y enrutador a principios de este mes. La vulnerabilidad de seguridad más grave afecta al enrutador y puede explotarse para provocar la inyección de comandos del sistema operativo.
La inyección de comandos críticos del sistema operativo afecta a los enrutadores Zyxel
Según el aviso de la compañía, una vulnerabilidad de inyección de comandos del sistema operativo afectó a varios enrutadores Zyxel. La vulnerabilidad, identificada como CVE-2024-7261, es una falla de inyección de comandos del sistema operativo en algunas versiones de puntos de acceso (AP) y enrutadores de seguridad, dijo la compañía.
La lista CVE describe esta vulnerabilidad y los dispositivos afectados de la siguiente manera:
Versión de firmware Zyxel NWA1123ACv3 6.70 (ABVT.4) y anterior, versión de firmware WAC500 6.70 (ABVS.4) y anterior, versión de firmware WAX655E 7.00 (ACDO.1) y anterior, versión de firmware WBE530 7.00 (ACLE.1) y anterior, y Firmware USG LITE 60AX Un elemento especial en el parámetro “host” en un programa CGI en la versión V2.00 (ACIP.2) se deshabilitó incorrectamente, lo que permitió a un atacante no autenticado enviar una cookie diseñada a un dispositivo vulnerable. ejecutar comandos del sistema operativo.
Esta vulnerabilidad está clasificada como crítica con una puntuación CVSS de 9,1. Zyxel publica correcciones de seguridad en las últimas versiones de firmware de AP y enrutadores de seguridad y las anota en el aviso. Los usuarios deben actualizar sus dispositivos adecuadamente para recibir el parche.
Desbordamiento de búfer grave parcheado en varios productos
Otra solución de vulnerabilidad importante publicada al mismo tiempo solucionó un problema de desbordamiento del búfer de alta gravedad. La vulnerabilidad, identificada como CVE-2024-5412, recibió una puntuación CVSS de 7,5.
Esta falla afectó a algunos CPE 5G NR/4G LTE, CPE DSL/Ethernet, ONT de fibra, extensores WiFi y dispositivos de enrutador de seguridad. Esto permitió a un atacante no autenticado activar una denegación de estado en un dispositivo objetivo mediante el envío de una solicitud HTTP diseñada con fines malintencionados.
Zyxel ha publicado una lista detallada de los productos afectados y sus respectivos parches en un aviso.
Soluciona múltiples fallas de seguridad en Zyxel Firewall
Además de las dos correcciones de seguridad mencionadas anteriormente, Zyxel también solucionó siete fallas de seguridad que afectan a múltiples versiones de firewall. Estas vulnerabilidades incluyen:
CVE-2024-6343 (Medio, CVSS 4.9): Vulnerabilidad de desbordamiento de búfer en programas CGI. Un atacante autenticado con privilegios administrativos podría provocar una denegación de servicio. CVE-2024-7203 (alto, CVSS 7.2): vulnerabilidad de inyección de comandos del sistema operativo posterior a la autenticación que permite a un atacante ejecutar mediante un comando CLI creado con fines malintencionados. CVE-2024-42057 (Alta, CVSS 8.1): Vulnerabilidad de inyección de comandos del sistema operativo que afecta la funcionalidad VPN IPSec del firewall. Permite ataques de atacantes no autenticados. CVE-2024-42058 (Alta, CVSS 7.5): Vulnerabilidad de desreferencia de puntero nulo que permite a un atacante no autenticado provocar un ataque DoS. CVE-2024-42059 (Alta; CVSS 7.2): Vulnerabilidad de inyección de comandos del sistema operativo posterior a la autenticación que puede ser aprovechada por un atacante autenticado cargando un archivo de lenguaje comprimido diseñado a través de FTP. CVE-2024-42060 (Alta; CVSS 7.2): un atacante autenticado puede aprovechar esta vulnerabilidad de inyección de comandos del sistema operativo cargando un archivo de acuerdo de usuario interno diseñado en un dispositivo de destino. CVE-2024-42061 (Medio; CVSS 6.1): secuencias de comandos entre sitios (XSS) reflejadas en el programa CGI del firewall Dynamic_script.cgi.
Esta vulnerabilidad afectó a varios modelos de Zyxel ATP, USG FLEX y USG FLEX 50(W)/USG20(W)-VPN. Zyxel aplicó la última versión de software a todos los dispositivos afectados y compartió los detalles en un aviso. Para evitar posibles amenazas, los usuarios deben asegurarse de que sus dispositivos tengan la última versión del parche.
Háganos saber su opinión en la sección de comentarios.
https://latesthackingnews.com/2024/09/06/zyxel-patched-numerous-security-flaws-across-different-products/
