Zyxel ha llançat pedaços de seguretat que corregixen múltiples vulnerabilitats en algunes versions de tallafoc, encaminadors, punts d’accés (AP): 5G, DSL, Wi-Fi i fibra òptica. Les vulnerabilitats detectades podrien permetre que un ciberdelinqüent provocara condicions de denegació de servici (Dos), així com executar ordes del sistema operatiu o codi no autoritzat de manera remota.
Anàlisi
Entre les vulnerabilitats descrites, en destaquen tres per la seua severitat crítica.
Dos de les vulnerabilitats són d’injecció d’ordes i podrien permetre que un ciberdelinqüent, no autenticat, executara ordes del sistema operatiu mitjançant l’enviament d’una sol·licitud HTTP POST.
Una altra de les vulnerabilitats és d’execució remota de codi i podria permetre que un ciberdelinqüent, no autenticat, executara codi arbitrari carregant un arxiu en un dispositiu vulnerable.
Les vulnerabilitats corregides són les següents:
- CVE-2024-6343
- CVE-2024-7203
- CVE-2024-42057
- CVE-2024-42058
- CVE-2024-42059
- CVE-2024-42060
- CVE-2024-42061
Recursos afectats
Entre els recursos afectats hi ha tallafocs, AP, encaminadors de seguretat, 5G NR/4G LTE CPE, DSL/ETHERNET CPE, fibres ONT, i extensors Wi-Fi. (consulteu els productes específics en l’enllaç de la notícia)
Recomanacions
Es recomana als usuaris d’estos productes que actualitzen el microprogramari per a una major protecció (accediu als enllaços de les referències per a descarregar les actualitzacions corresponents a cada producte).
Referències
- https://www.incibe.es/empresas/avisos/zyxel-lanza-parches-de-seguridad-que-corrigen-multiples-vulnerabilidades-en-algunos
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-vulnerability-in-some-5g-nr-cpe-dsl-ethernet-cpe-fiber-ont-wifi-extender-and-security-router-devices-09-03-2024
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-os-command-injection-vulnerability-in-aps-and-security-router-devices-09-03-2024