PT-2024-27909 · Zyxel · Zyxel Gs1900-10Hp

Steinar H. Gunderson · Publicado 2024-09-09 · Atualizado 2024-09-18 · CVE-2024-38270

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Firmware do Zyxel GS1900-10HP, versão V2.80(AAZI.0)C0

Descrição

Existe uma vulnerabilidade de entropia insuficiente devido ao uso inadequado de uma função de aleatoriedade com baixa entropia para a geração de tokens de autenticação web. Isso poderia permitir que um invasor na LAN tivesse uma pequena chance de obter um token de sessão válido caso haja várias sessões autenticadas ativas.

Recomendações

Para o firmware Zyxel GS1900-10HP versão V2.80(AAZI.0)C0, considere desativar a autenticação web até que uma correção esteja disponível para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-331

Identificadores relacionados

CVE-2024-38270

Produtos afetados

Zyxel Gs1900-10Hp

Referências · 7

• https://t.me/cvenotify/93901 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1833329923001291158 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-38270 · Aviso do Fabricante
• https://t.me/cvedetector/5147 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1833389499654472147 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-38270 · Nota de Segurança
• https://zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-insufficient-entropy-vulnerability-for-web-authentication-tokens-generation-in-gs1900-series-switches-09-10-2024 · Aviso do Fabricante