BDU:2024-00880

Опубликовано: 29 янв. 2024

Источник: fstec

CVSS3: 7.2

CVSS2: 8.3

EPSS Средний

Описание

Уязвимость веб-интерфейса управления микропрограммного обеспечения сетевых хранилищ Zyxel NAS326, NAS542 существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды путём отправки специально сформированного параметра запроса, прикреплённого к URL-адресу веб-интерфейса управления

Вендор

Zyxel Communications Corp.

Наименование ПО

NAS326

NAS542

Версия ПО

до 5.21(AAZF.16)C0 (NAS326)

до 5.21(ABAG.13)C0 (NAS542)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,2)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения удалённого доступа к устройству;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа к устройству из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-post-authentication-command-injection-vulnerability-in-nas-products-01-30-2024

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-post-authentication-command-injection-vulnerability-in-nas-products-01-30-2024

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-5372
CVE

EPSS

Процентиль: 93%

0.10118

Средний

7.2 High

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2023-5372

CVSS3: 7.2

nvd

около 2 лет назад

The post-authentication command injection vulnerability in Zyxel NAS326 firmware versions through V5.21(AAZF.15)C0 and NAS542 firmware versions through V5.21(ABAG.12)C0 could allow an authenticated attacker with administrator privileges to execute some operating system (OS) commands by sending a crafted query parameter attached to the URL of an affected device’s web management interface.

GHSA-hgw6-wf28-c5x3

CVSS3: 7.2

github

около 2 лет назад

EPSS

Процентиль: 93%

0.10118

Средний

7.2 High

CVSS3

8.3 High

CVSS2