Zyxel Networks یک به‌روزرسانی امنیتی اضطراری برای رفع سه آسیب‌پذیری حیاتی منتشر کرده است که دستگاه‌های قدیمی NAS از رده خارج را تحت تأثیر قرار می‌دهند.
این آسیب پذیری ها بر NAS326 با نسخه های 5.21(AAZF.16)C0 و قبل‌تر، و NAS542 با نسخه‌های 5.21 (ABAG.13)C0 و قدیمی‌تر را تحت تأثیر قرار میدهد.
شرکت سازنده سه نقص مهم را برطرف کرده است که مهاجمان را قادر می سازد تا تزریق فرمان و اجرای کد از راه دور را انجام دهند. با این حال، دو مورد از نقص‌هایی که امکان افزایش امتیاز و افشای اطلاعات را فراهم می‌کرد، در محصولات از رده خارج شده، برطرف نشدند.
آسیب پذیری های افشا شده به شرح زیر است که تنها سه مورد اول آن رفع شده است:
- CVE-2024-29972: Command injection flaw in the CGI program (‘remote_help-cgi’) allowing an unauthenticated attacker to send a specially-crafted HTTP POST request to execute OS commands using a NsaRescueAngel backdoor account that has root privileges.
- CVE-2024-29973: Command injection flaw in the ‘setCookie’ parameter, allowing an attacker to send a specially-crafted HTTP POST request to execute OS commands.
- CVE-2024-29974: Remote code execution bug in the CGI program (‘file_upload-cgi’), allowing an unauthenticated attacker to upload malicious configuration files on the device.
- CVE-2024-29975: Improper privilege management flaw in the SUID executable binary allowing an authenticated local attacker with admin rights to execute system commands as the “root” user. (Not fixed)
- CVE-2024-29976: Improper privilege management problem in the ‘show_allsessions’ command, allowing an authenticated attacker to obtain session information, including active admin cookies. (Not fixed)
با اینکه این دو مدل NAS در پایان سال 2023 از رده خارج شده اند، اما با توجه به اهمیت این آسیب پذیری ها، این به روز رسانی منتشر شده است.
Zyxel می گوید موردی از بهره برداری از آسیب پذیری های مذکور مشاهده نشده است اما از آنجایی که اکنون اکسپلویت های مربوط به آنها منتشر شده است پس لازم است کاربران در اسرع وقت به‌روزرسانی‌های امنیتی را اعمال کنند.
منبع:
