BDU:2024-10724

Опубликовано: 03 дек. 2024

Источник: fstec

CVSS3: 7.2

CVSS2: 9

EPSS Низкий

Описание

Уязвимость параметра host веб-интерфейса управления микропрограммного обеспечения сетевых устройств Zyxel связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды

Вендор

Zyxel Communications Corp.

Наименование ПО

EMG6726-B10A

VMG3927-B50B

VMG4005-B50A

VMG4005-B60A

VMG4005-B50B

VMG4927-B50A

Версия ПО

до 5.13(ABNP.8)C1 (EMG6726-B10A)

до 5.13(ABLY.9)C1 (VMG3927-B50B)

до 5.15(ABQA.2.3)C0 (VMG4005-B50A)

до 5.15(ABQA.2.3)C0 (VMG4005-B60A)

до 5.13(ABRL.5.2)C0 (VMG4005-B50B)

до 5.13(ABLY.9)C1 (VMG4927-B50A)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,2)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения удалённого доступа к веб-интерфейсу управления устройством;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-and-post-authentication-command-injection-vulnerabilities-in-some-4g-lte-5g-nr-cpe-dsl-ethernet-cpe-fiber-onts-and-wifi-extenders-12-03-2024

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-and-post-authentication-command-injection-vulnerabilities-in-some-4g-lte-5g-nr-cpe-dsl-ethernet-cpe-fiber-onts-and-wifi-extenders-12-03-2024

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-9200
CVE

EPSS

Процентиль: 63%

0.00458

Низкий

7.2 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2024-9200

CVSS3: 7.2

nvd

около 1 года назад

A post-authentication command injection vulnerability in the "host" parameter of the diagnostic function in Zyxel VMG4005-B50A firmware versions through V5.15(ABQA.2.2)C0 could allow an authenticated attacker with administrator privileges to execute operating system (OS) commands on a vulnerable device.

GHSA-3787-f2g5-hhvq

CVSS3: 7.2

github

около 1 года назад

EPSS

Процентиль: 63%

0.00458

Низкий

7.2 High

CVSS3

9 Critical

CVSS2