‫ زایکسل نقص های اساسی در دستگاه های EOL NAS را اصلاح می کند

Zyxelوصله‌هایی را برای سه آسیب‌پذیری حیاتی (CVE-2024-29972، CVE-2024-29973، و CVE-2024-29974) منتشر کرده است که بر دو دستگاه ذخیره‌سازی متصل به شبکه (NAS) تأثیر می‌گذارد که اخیراً به پشتیبانی نهایی آسیب‌پذیری رسیده‌اند.

در مورد آسیب پذیری ها

این سه آسیب پذیری عبارتند از:

یک آسیب‌پذیری تزریق فرمان در برنامه CGIکه ​​می‌تواند به یک مهاجم تایید نشده اجازه دهد تا برخی از دستورات سیستم‌عامل را با ارسال یک درخواست HTTP POST (CVE-2024-29972)اجرا کند.

یک آسیب‌پذیری تزریق فرمان در پارامتر «setCookie» که می‌تواند به یک مهاجم احراز هویت نشده اجازه دهد تا برخی از دستورات سیستم‌عامل را با ارسال یک درخواست HTTP POST (CVE-2024-29973)اجرا کند.

یک آسیب‌پذیری اجرای کد از راه دور در برنامه CGI «file_upload-cgi» که می‌تواند به یک مهاجم تایید نشده اجازه دهد تا کد دلخواه را با آپلود یک فایل پیکربندی ساخته‌شده در یک دستگاه آسیب‌پذیر اجرا کند (CVE-2024-29974)

این آسیب‌پذیری‌ها توسط تیموتی هیورت، محقق آسیب‌پذیری در آزمایشگاه‌های روح Outpost24کشف و گزارش شده است.

Hjortهمچنین یک حساب کاربری درب پشتی مورد استفاده برای پشتیبانی از راه دور (که ظاهراً چهار سال پیش حذف شده بود) و دو نقص دیگر پیدا کرد که می‌توانند توسط مهاجمانی که قبلاً به یک دستگاه آسیب‌پذیر دسترسی پیدا کرده‌اند برای ارتقای امتیازات خود مورد سوء استفاده قرار گیرند:

CVE-2024-29975ممکن است به یک مهاجم احراز هویت شده با امتیازات مدیریت اجازه دهد تا برخی از دستورات سیستم را به عنوان "ریشه" اجرا کند.

CVE-2024-29976- یک نقص افشای اطلاعات - ممکن است به مهاجم احراز هویت شده اجازه دهد تا توکن های جلسه را برای همه کاربران احراز هویت شده، از جمله مدیران، به دست آورد.

او در نوشته فنی خود درباره آسیب‌پذیری‌ها، اثبات کد بهره‌برداری مفهومی را نیز درج کرد.

وصله هایی برای برخی از ایرادات موجود است

این آسیب‌پذیری‌ها بر مدل‌های Zyxel NAS NAS326با نسخه 5.21(AAZF.16)C0و نسخه‌های قبلی و NAS542با نسخه 5.21(ABAG.13)C0و نسخه‌های قدیمی‌تر، تأثیر می‌گذارد.

هیورت خاطرنشان کرد: «Zyxelبا فرآیند افشاگری منصفانه برخورد کرده است و با افشای هماهنگ موافقت کرده است.

با وجود این واقعیت که دستگاه تا پایان سال گذشته به پایان عمر خود رسیده است، آنها همچنان وصله‌هایی را برای سه آسیب‌پذیری مهم CVE-2024-29972، CVE-2024-29973و CVE-2024-29974منتشر کردند. علاوه بر این، وقتی دستگاه به پایان عمر خود رسیده است، آنها تصمیم گرفتند حساب «پشتیبانی از راه دور» «NsaRescueAngel» را حذف کنند.

به کاربران دستگاه های EOLتوصیه می شود که به ترتیب به v5.21(AAZF.17)C0و v5.21(ABAG.14)C0ارتقا دهند.

Zyxelاشاره ای نکرد که آیا هیچ یک از این نقص ها مورد سوء استفاده قرار می گیرد یا خیر، اما با توجه به همه این اطلاعات که در حال حاضر منتشر شده است، احتمالاً تا زمانی که دستگاه های آسیب پذیر وارد یک بات نت شوند یا با باج افزار مورد حمله قرار گیرند، زمان زیادی است.