PT-2024-6387 · Zyxel · Zyxel Nas542+1
Jinwei Dong
+1
·
Publicado
2024-09-09
·
Atualizado
2025-01-22
·
CVE-2024-6342
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Zyxel NAS326 até a V5.21(AAZF.18)C0
Versões do Zyxel NAS542 até a V5.21(ABAG.15)C0
Descrição
Uma vulnerabilidade de injeção de comando no programa export-cgi do firmware do Zyxel NAS326 e NAS542 pode permitir que um invasor não autenticado execute alguns comandos do sistema operacional (SO) enviando uma solicitação HTTP POST maliciosa. A vulnerabilidade existe no programa export-cgi e permite que um invasor execute remotamente comandos do sistema operacional.
Recomendações
Para as versões do Zyxel NAS326 até a V5.21(AAZF.18)C0, aplique a correção de emergência (hotfix) lançada pela Zyxel para corrigir a vulnerabilidade de injeção de comando.
Para as versões do Zyxel NAS542 até a V5.21(ABAG.15)C0, aplique a correção de emergência (hotfix) lançada pela Zyxel para corrigir a vulnerabilidade de injeção de comando.
Como solução alternativa temporária, considere desativar o programa export-cgi até que um patch esteja disponível.
Restrinja o acesso ao programa export-cgi vulnerável para minimizar o risco de exploração.
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zyxel Nas326
Zyxel Nas542