Zyxel: Mehrere Schwachstellen in NAS-Produkten gefunden

Zyxel hat Sicherheitsupdates veröffentlicht, die mehrere Schwachstellen in zwei NAS-Produkten beheben. Die betroffenen Geräte haben den Support-Lebenszyklus bereits erreicht, doch die Schwachstellen sind kritisch und sollten daher dringend behoben werden.

Die folgenden Schwachstellen wurden behoben:

• CVE-2024-29972: Eine Befehls-Injection-Schwachstelle im CGI-Programm ‘remote_help-cgi’ in Zyxel NAS326 und NAS542 Geräten könnte es einem nicht authentifizierten Angreifer ermöglichen, bestimmte Betriebssystembefehle durch Senden einer manipulierten HTTP POST-Anfrage auszuführen.
• CVE-2024-29973: Eine Befehls-Injection-Schwachstelle im Parameter ‘setCookie’ in Zyxel NAS326 und NAS542 Geräten könnte es einem nicht authentifizierten Angreifer ermöglichen, bestimmte Betriebssystembefehle durch Senden einer manipulierten HTTP POST-Anfrage auszuführen.
• CVE-2024-29974: Eine Remote Code Execution-Schwachstelle im CGI-Programm ‘file_upload-cgi’ in Zyxel NAS326 und NAS542 Geräten könnte es einem nicht authentifizierten Angreifer ermöglichen, beliebigen Code auszuführen, indem er eine manipulierte Konfigurationsdatei auf ein betroffenes Gerät hochlädt.
• CVE-2024-29975: Eine Schwachstelle in der Privilegienverwaltung im SUID-ausführbaren Binärprogramm in Zyxel NAS326 und NAS542 Geräten könnte es einem authentifizierten lokalen Angreifer mit Administratorrechten ermöglichen, bestimmte Systembefehle als ‘root’-Benutzer auf einem betroffenen Gerät auszuführen.
• CVE-2024-29976: Eine Schwachstelle in der Privilegienverwaltung im Befehl ‘show_allsessions’ in Zyxel NAS326 und NAS542 Geräten könnte es einem authentifizierten Angreifer ermöglichen, die Sitzungsinformationen eines angemeldeten Administrators abzurufen, einschließlich Cookies auf einem betroffenen Gerät.

Die folgenden Zyxel NAS-Produkte sind von diesen Schwachstellen betroffen:

• Zyxel NAS326
• Zyxel NAS542

Zyxel hat Patches veröffentlicht, die diese Schwachstellen beheben. Es ist dringend empfohlen, diese Patches so schnell wie möglich zu installieren, um Ihre Geräte zu schützen.

Weitere Informationen zu den Schwachstellen und den verfügbaren Patches finden Sie auf der Zyxel-Website.